UpdraftPlus-Angriff und PHP2Shell: Was Sie jetzt prüfen sollten.

Kurz zusammengefasst

• UpdraftPlus: Am Wochenende vom 17. und 18. Oktober verschafften sich Unbefugte Zugriff auf die Kundendatenbank von TeamUpdraft, dem Hersteller des Backup-Plugins. Mit erbeuteten Verbindungsschlüsseln des Dienstes UpdraftCentral legten sie auf verbundenen Websites Administratorkonten an und installierten schädliche Plugins. Betroffen sein können nur Websites, die mit UpdraftCentral in der Cloud verbunden waren.
• PHP2Shell: Am 21. Oktober hat das PHP-Projekt zwei kritische Lücken in PHP selbst geschlossen. Das BSI stuft sie mit 3 von 4 (Orange) ein. Betroffen ist jede Website, die auf einem PHP-Server läuft, also auch WordPress, TYPO3, Joomla und viele andere Systeme. Ein Update von WordPress hilft dagegen nicht, PHP auf dem Server muss aktualisiert werden.
• Lage: Laut BSI ist eine erfolgreiche Ausnutzung von PHP2Shell in der Breite bisher nicht bekannt, Angriffsversuche gibt es aber (Stand 22. Oktober).

Ist Ihre Website betroffen?

UpdraftPlus: was Sie jetzt tun

Der Hersteller empfiehlt für jede Website, die mit UpdraftCentral in der Cloud verbunden war, diese Schritte. Melden Sie sich dafür direkt im WordPress-Verwaltungsbereich der jeweiligen Website an, nicht über UpdraftCentral.

1. UpdraftPlus auf Version 1.26.13 (kostenlos) oder 2.26.13 (Premium) oder neuer aktualisieren. Diese Versionen trennen alte UpdraftCentral-Verbindungen.
2. Den Verbindungsschlüssel löschen: Einstellungen, UpdraftPlus, Erweiterte Werkzeuge, UpdraftCentral.
3. Unter „Benutzer“ nach unbekannten Konten mit Administrator- oder Redakteursrechten suchen und sie entfernen.
4. Unter „Plugins“, auch im Reiter „Must-Use“, nach unbekannten Plugins suchen und sie entfernen.
5. Die Passwörter aller Administratorkonten ändern.
6. Wirkt etwas verdächtig, eine Sicherung von vor dem 17. Oktober einspielen.
7. Wer ein Konto bei teamupdraft.com hat: dort das Passwort ändern, die Zwei-Faktor-Anmeldung neu einrichten und vorsichtig sein bei E-Mails, die angeblich von TeamUpdraft kommen.

Wichtig: Das Update allein entfernt keine Hintertür, die vorher schon installiert wurde. Deshalb gehören die Prüfung von Benutzern und Plugins dazu.

PHP2Shell: was Sie jetzt tun

Die Lücken stecken in PHP selbst, nicht in WordPress. Das Update muss deshalb auf dem Server eingespielt werden. Bei den meisten Betrieben ist das Sache des Hosters.

• Hoster fragen: Lassen Sie sich schriftlich bestätigen, welche PHP-Version läuft und ob das Sicherheitsupdate vom 21. Oktober eingespielt ist. Korrigiert sind die Versionen 8.5.12, 8.4.27, 8.3.36 und 8.2.35. Linux-Distributionen liefern teils eigene, ebenfalls korrigierte Versionen mit anderer Nummer.
• PHP 8.1 oder älter: Diese Versionen bekommen vom PHP-Projekt keine Updates mehr. Ein Wechsel auf eine unterstützte Version ist nötig. Testen Sie die Website vorher auf einer Kopie, ältere Plugins laufen nicht immer mit neuen PHP-Versionen.
• Eigener Server: Das BSI empfiehlt, die Patches umgehend einzuspielen. Geht das nicht sofort, rät es, eine vorübergehende Trennung vom Internet zu erwägen, weil kein Workaround vollständig schützt.
• Geräte im Büro: Laut BSI sind auch einzelne Router, Firewalls und Netzwerkspeicher mit Weboberfläche betroffen, darunter Produkte von Synology und QNAP. Prüfen Sie, ob für Ihre Geräte Updates bereitstehen.

Woran Sie einen Einbruch erkennen

• Benutzerkonten, die niemand in Ihrem Betrieb angelegt hat.
• Plugins, die Sie nicht kennen, oft mit harmlosen Namen. Beim UpdraftPlus-Angriff tarnten sie sich laut Patchstack als Wartungs- oder Cache-Werkzeuge.
• Seiten, die auf fremde Adressen weiterleiten, oder Werbung, die Sie nicht eingebaut haben.
• Warnungen in der Google Search Console oder im Browser.

Bei Verdacht: eine saubere Sicherung von vor dem Vorfall einspielen, alle Passwörter ändern und Ihren Dienstleister oder Hoster einbeziehen. Löschen Sie nicht vorschnell alles, Protokolle helfen bei der Aufklärung.

Warum das bei WordPress immer wieder passiert

Eine WordPress-Website besteht aus mehreren Teilen: dem WordPress-Kern, einem Theme, meist vielen Plugins und dem PHP-Server darunter. Jeder Teil kann Sicherheitslücken haben, und jeder muss aktuell gehalten werden. Allein im Oktober 2026 kamen zu den beiden Vorfällen oben weitere hinzu, etwa eine kritische Lücke im Plugin Bricksforge, die seit dem 7. Oktober ausgenutzt wird. Das ist kein Grund zur Panik, aber ein Grund, die Pflege einer WordPress-Website nicht dem Zufall zu überlassen.

Wie die Websites von landingwerk gebaut sind

Die Websites, die ich baue, laufen ohne PHP und ohne WordPress-Plugins. Sie entstehen mit Next.js, die Seiten werden vorab erzeugt und ausgeliefert. Von PHP2Shell und dem UpdraftPlus-Angriff sind sie deshalb nicht betroffen.

Unangreifbar sind sie trotzdem nicht. Auch in Next.js wurden 2026 Sicherheitslücken bekannt, darunter zwei als hoch eingestufte, die mit Updates geschlossen wurden. Der Unterschied liegt in der Angriffsfläche: wenige Bausteine, kein Plugin-Markt und standardmäßig kein Anmeldebereich auf der Website. Updates spiele ich zentral ein, mit einem Betreuungsvertrag auch nach dem Start.

Ein einzelner Vorfall ist kein Grund, die Website zu wechseln. Wenn die Pflege aber dauerhaft Zeit und Geld kostet oder die Seite ohnehin in die Jahre gekommen ist, lohnt sich der Blick auf einen Neuaufbau. Alte Adressen werden dabei weitergeleitet, damit nichts ins Leere läuft. Was das kostet, steht im Artikel Was kostet eine Website für einen Handwerksbetrieb.

Häufige Fragen

Reicht ein WordPress-Update gegen PHP2Shell?

Nein. Die Lücken stecken in PHP auf dem Server. Laut BSI reicht ein Update der Anwendung nicht, die PHP-Laufzeitumgebung muss ebenfalls aktualisiert werden.

Ich nutze UpdraftPlus nur für Backups in meine Dropbox. Bin ich betroffen?

Laut Hersteller sind Sicherungen in eigenem Speicher wie Google Drive, Dropbox oder Amazon S3 nicht betroffen. Gefährdet waren Websites, die mit UpdraftCentral in der Cloud verbunden waren. Halten Sie das Plugin trotzdem aktuell.

Woher weiß ich, welche PHP-Version mein Hoster nutzt?

Im Kundenbereich des Hosters steht sie meist unter den Einstellungen des Webspace. In WordPress zeigt sie der Punkt „Website-Zustand“ unter „Werkzeuge“, Reiter „Bericht“, Abschnitt „Server“. Ob das Sicherheitsupdate eingespielt ist, kann bei Paketen der Linux-Distribution an der Nummer allein nicht immer abgelesen werden. Fragen Sie im Zweifel nach.