Zusammenfassung
Im Oktober 2026 wurde unter dem Namen PHP2Shell eine schwere Sicherheitslücke in PHP bekannt, der Programmiersprache, auf der WordPress und viele andere Website-Systeme laufen. Gefunden haben sie Sicherheitsforscher mit Hilfe von KI, und genau das macht den Fall über den Tag hinaus interessant. In diesem Beitrag ordne ich ein, was passiert ist, warum KI das Tempo bei Sicherheitslücken verändert und weshalb WordPress-Websites davon besonders betroffen sind. Außerdem erfährst Du, warum ich auf Webflow setze, wo auch dort Risiken bleiben und was bei einem Wechsel von WordPress zu Webflow mit Deinen Google-Platzierungen passiert.
Im Oktober 2026 hatten viele Website-Betreiber ein paar unruhige Tage. Eine Sicherheitslücke in PHP erlaubte es Angreifern, fremden Code auf Webservern auszuführen und im schlimmsten Fall ganze Websites zu übernehmen. Hoster schalteten vorsorglich Funktionen ab, einzelne Hochschulen und Kliniken nahmen ihre Websites ganz vom Netz, und das Bundesamt für Sicherheit in der Informationstechnik warnte vor einer großflächigen Ausnutzung innerhalb weniger Stunden.
Auch bei mir kamen in diesen Tagen viele Nachfragen an. Kund:innen wollten wissen, ob ihre Website betroffen ist, und ich konnte sie beruhigen: Webflow läuft nicht auf PHP, die Lücke spielte für ihre Seiten deshalb keine Rolle. Bei WordPress-Betreibern habe ich in derselben Zeit viel Unsicherheit mitbekommen. Manche mussten erst herausfinden, wer bei ihnen überhaupt für das Update zuständig ist, und Dienstleister hatten Dutzende Installationen gleichzeitig abzusichern.
Die Lücke ist inzwischen geschlossen, zumindest dort, wo jemand das Update eingespielt hat. Lehrreich bleibt der Fall trotzdem, weil er zeigt, wie sich die Spielregeln für Website-Sicherheit gerade verschieben.
Was hinter der PHP-Sicherheitslücke vom Oktober 2026 steckt
PHP ist eine Programmiersprache, die im Hintergrund auf dem Server arbeitet und dort die Seiten einer Website zusammensetzt, bevor sie im Browser ankommen. WordPress basiert darauf, ebenso TYPO3, Joomla und viele Onlineshops. Eine Lücke in PHP betrifft deshalb all diese Websites gleichzeitig, ganz unabhängig davon, wie sorgfältig sie gebaut wurden.
Bei PHP2Shell kam hinzu, dass die beiden Schwachstellen schon seit über zehn Jahren im Code steckten. Betroffen waren alle Versionen ab PHP 5.4, die 2012 erschienen ist. Das PHP-Team veröffentlichte am 21. Oktober 2026 korrigierte Versionen, allerdings nur für die Versionen, die noch gepflegt werden. Wer eine ältere Version betreibt, muss zuerst auf eine neuere wechseln, und dabei kann es passieren, dass ältere Plugins nicht mehr mitspielen. Aus einem Sicherheitsupdate wird so schnell ein kleines Projekt.
Bemerkenswert an PHP2Shell ist vor allem, wer die Lücke gefunden hat und mit welchen Werkzeugen.
KI findet Sicherheitslücken schneller als je zuvor
Die erste der beiden Lücken entdeckte im August 2026 die Sicherheitsfirma Calif, unterstützt von einem KI-Modell von OpenAI. Wenige Wochen später stieß das Team von Wiz, einer Google-Tochter, unabhängig davon auf dieselben Schwachstellen, ebenfalls mit KI. Wiz beschrieb den Unterschied zu früher anschaulich: Ein einzelner Forscher habe mit aktuellen KI-Modellen in einer Woche geschafft, wofür sonst ein Spitzenteam Monate gebraucht hätte.
PHP2Shell reiht sich in eine Entwicklung ein, die sich inzwischen gut in Zahlen ablesen lässt. Die Google Threat Intelligence Group hat ausgewertet, dass sich die Zahl der monatlich gemeldeten Sicherheitslücken 2026 verdoppelt hat, von rund 5.000 im Januar auf über 10.700 im August. Auffällig ist dabei, welche Art von Lücken KI findet: Die Hälfte davon erlaubt es Angreifern, fremden Code auszuführen, bei den übrigen Lücken trifft das auf rund ein Viertel zu. Mit weiteren Funden ist zu rechnen, denn OpenAI hat angekündigt, bereits weitere schwere Lücken entdeckt zu haben.
Diese Entwicklung hat zwei Seiten. Sicherheitsforscher finden Lücken früher, und die Hersteller können sie schließen, bevor jemand sie ausnutzt. Dieselben Werkzeuge stehen aber auch Angreifern zur Verfügung, die damit aus einer veröffentlichten Lücke schneller einen funktionierenden Angriff bauen. Bei PHP2Shell beobachtete Cloudflare die ersten Angriffe bereits am Morgen nach dem Update. Für Website-Betreiber schrumpft damit die Zeit, in der sie ein Update in Ruhe einspielen können, auf wenige Stunden.
Wie gut eine Website mit diesem Tempo mithält, hängt stark davon ab, wie sie aufgebaut ist. Und an diesem Punkt unterscheiden sich WordPress und Webflow grundlegend.
Warum WordPress-Websites davon besonders betroffen sind
Eine WordPress-Website lässt sich gut mit einem Haus mit mehreren Stockwerken vergleichen. Ganz unten liegt PHP auf dem Server des Hosters, darauf steht WordPress selbst, darüber das Theme und eine Reihe von Plugins für Formulare, SEO oder das Cookie-Banner. Jedes dieser Stockwerke stammt von anderen Entwicklern und bekommt seine Updates in eigenem Rhythmus. Damit die Website sicher bleibt, müssen alle gleichzeitig auf dem aktuellen Stand sein. Für TYPO3 und andere offene Systeme gilt im Grundsatz dasselbe.
Das anfälligste Stockwerk sind die Plugins. Der Sicherheitsanbieter Patchstack zählte für 2025 insgesamt 11.334 neue Sicherheitslücken im WordPress-Umfeld, 42 Prozent mehr als im Jahr davor. 91 Prozent davon steckten in Plugins, im WordPress-Kern selbst waren es gerade einmal sechs. Besonders unangenehm ist, dass es bei fast der Hälfte zum Zeitpunkt der Veröffentlichung noch gar kein Update gab, mit dem Betreiber die Lücke hätten schließen können. Ihnen blieb in dieser Zeit nur das Abwarten.
Dazu kommt die Frage, wer das Update einspielt und wie schnell. Bei PHP2Shell lag das in der Hand der Hoster. Ein deutscher Hoster hat seinen Ablauf offen dokumentiert: Er sperrte vorsorglich alle Datei-Uploads auf den Websites seiner Kund:innen und hatte rund neun Stunden nach Erscheinen des Updates etwa 60 Prozent seiner Server aktualisiert. Das ist eine solide Leistung, und trotzdem zeigt es, wie stark WordPress-Betreiber vom Tempo anderer abhängen. Bei Plugin-Lücken liegt die Verantwortung beim Dienstleister oder beim eigenen Team, wo das Update oft mit dem Tagesgeschäft konkurriert.
Was passiert, wenn eine solche Lücke offen bleibt, habe ich in meiner Agenturzeit erlebt. Ein Kunde nutzte ein Plugin, das nicht mehr gepflegt wurde, und über diese Lücke kamen Bots auf die Seite. Sie veröffentlichten Spam-Beiträge und hinterließen fremde Shop-Strukturen, das Aufräumen hat Tage gekostet. Mit KI wird es noch leichter, solche vergessenen Stellen systematisch aufzuspüren. Diese Erfahrung ist einer der Gründe, warum ich heute Websites mit Webflow baue.
Wie Webflow die Angriffsfläche verkleinert
Bei Webflow kommen Hosting, CMS und Updates aus einer Hand, und die Plattform pflegt sich im Hintergrund selbst. Es gibt keine PHP-Version, die auslaufen kann, und keine Plugins aus fremden Quellen, die jemand aktualisieren müsste. Sicherheitsupdates spielt Webflow zentral für alle Websites gleichzeitig ein, ohne dass ich oder meine Kund:innen dafür aktiv werden müssen.
Um im Bild vom Haus zu bleiben: Webflow liefert das Haus aus einem Guss und übernimmt auch die Instandhaltung. Damit fallen genau die Stellen weg, an denen die meisten WordPress-Lücken entstehen, und mit ihnen die Abhängigkeit davon, wie schnell ein Hoster reagiert oder ob ein Dienstleister ein Update rechtzeitig einspielt. Webflow lässt seine Sicherheitsprozesse außerdem regelmäßig von unabhängigen Prüfern kontrollieren und ist nach dem internationalen Standard ISO 27001 zertifiziert.
Davon profitiert neben der Sicherheit auch Dein Budget. Bei WordPress fließen je nach Umfang teilweise hunderte Euro im Monat in Wartung und Updates, auch wenn sich an der Website inhaltlich nichts ändert. Bei Webflow ist diese Arbeit in der monatlichen Gebühr enthalten, und die Ressourcen, die sonst in Wartung gehen, stehen für Inhalte und Kampagnen zur Verfügung. Eine ausführliche Gegenüberstellung der Kosten findest Du in meinem Beitrag Webflow oder WordPress: Warum Du Deine Wahl prüfen solltest.
So überzeugend das klingt, wäre es unredlich, Webflow als hundertprozentig sicher darzustellen.
Wo das Risiko auch bei Webflow bleibt
Webflow ist Software, und auch dort können Sicherheitsforscher mit KI Schwachstellen finden. Für solche Fälle betreibt Webflow ein Programm, über das Forscher gefundene Lücken melden können. Der entscheidende Vorteil liegt im Ablauf danach: Das Sicherheitsteam von Webflow schließt eine Lücke an zentraler Stelle, und die Korrektur gilt sofort für alle Websites auf der Plattform. Niemand muss darauf warten, dass Tausende Betreiber einzeln reagieren.
Die größte Schwachstelle bleibt bei Webflow wie bei jedem anderen System der Mensch. Wer Zugang zum Webflow-Konto hat, kann die Website verändern, deshalb gehören starke Passwörter, Zwei-Faktor-Anmeldung und eine saubere Rechteverwaltung zur Pflicht. Dasselbe gilt für eingebundene Dienste wie Analyse-Tools, Chat-Widgets oder externe Formulare, für die weiterhin das Unternehmen die Verantwortung trägt.
Unterm Strich ist Webflow angreifbar wie jede Software, aber in der Summe deutlich besser aufgestellt, weil die häufigsten Einfallstore offener Systeme dort fehlen. Mehr dazu liest Du im Glossar-Eintrag Wie sicher ist Webflow?
Von WordPress zu Webflow migrieren: Was bei einem Wechsel passiert
Wer nach dem Oktober 2026 über einen Wechsel nachdenkt, hat meistens eine Sorge im Kopf: die eigenen SEO-Platzierungen. Ich höre sie in fast jedem Gespräch über eine Migration, und sie ist verständlich, denn gute Rankings sind oft über Jahre gewachsen. Bei einer sauber geplanten Migration bleiben sie erhalten, weil Google die neue Website als Nachfolgerin der alten erkennt und die gewachsene Sichtbarkeit überträgt. Voraussetzung ist, dass die Migration von Anfang an als fester Teil des Projekts eingeplant ist.
Auch inhaltlich musst Du beim Wechsel nichts aufgeben. Texte, Bilder und Blog-Archive lassen sich vollständig übernehmen, auch wenn es mehrere Hundert Artikel sind, und ein bestehendes Layout, das gut funktioniert, baue ich in Webflow nach. Viele Unternehmen nutzen den Wechsel allerdings gern, um Struktur und Gestaltung gleich mit zu überarbeiten und veraltete Inhalte auszusortieren. Wie ich dabei vorgehe, beschreibe ich im Glossar-Eintrag Content-Migration zu Webflow.
Wenn Du nach den Ereignissen im Oktober 2026 überlegst, Deine Website auf ein System mit weniger Wartung und kleinerer Angriffsfläche umzustellen, freue ich mich über Deine Nachricht. In einem Erstgespräch schauen wir uns Deine aktuelle Website an, und ich sage Dir offen, ob sich ein Relaunch oder eine Migration auf Webflow für Dich lohnt, egal ob Du von WordPress, TYPO3 oder einem anderen System kommst.
