Raus aus der WordPress-Abhängigkeit.
PHP2Shell trifft jede ungepatchte WordPress-Seite. Unser KI-Agent zieht Ihre auf statisches Astro um: ohne PHP, ohne Datenbank, ohne Plugins. Gleiches Design, gleiche URLs bei besserer Performance, ohne Sicherheitslücken.
Das Problem ist nicht nur WordPress, sondern auch die Technologie dahinter.
Kritisch nach CVSS v4.0
Zwei Schwachstellen im Speicher-Handling des PHP-Kerns, in der Fachpresse „PHP2Shell“ genannt: CVE-2026-109618 und CVE-2026-109619.
Passwort schützt dich
Remote Code Execution ohne Anmeldung, voll automatisierbar. Der Code läuft mit den Rechten des Webservers, also mit Zugriff auf Datenbank und Zugangsdaten.
für die Katz
Laut PHP-Team alle Versionen seit PHP 5. Ein WordPress-Update hilft nicht, gepatcht werden muss der Server.
bis zur Übernahme
So lange brauchten die Entdecker im Demo-Video, um per PHP2Shell Systembefehle auf einem Webserver auszuführen. heise vergleicht das Potenzial mit Heartbleed.
Stand 21.10.: Eine Ausnutzung durch Kriminelle war noch nicht bekannt. heise erwartet, dass sich das bald ändert. Uberspace hat PHP-Dienste zeitweise komplett abgeschaltet.
Vor knapp vier Wochen hatte WordPress selbst eine kritische Lücke. Jetzt PHP. Das ist kein Ausreißer, sondern ein Muster: Webserver, PHP, Datenbank, Core, Theme und ein Dutzend Plugins, jede Schicht mit eigenem Update-Weg und eigenen Lücken.
Kommt Ihnen einer dieser Sätze bekannt vor?
Gestern Abend hat die IT die Seite einfach abgeschaltet.
Nach dem letzten Plugin-Update war das Kontaktformular kaputt.
Niemand traut sich, das Theme anzufassen.
Die Agentur, die das gebaut hat, gibt es nicht mehr.
Wir laufen noch auf PHP 7.4. Der Hoster drängelt seit einem Jahr.
Auf dem Handy lädt die Startseite gefühlt ewig.
Was nicht sichtbar ist, kann nicht angegriffen werden.
WordPress baut jede Seite bei jedem Aufruf neu zusammen, auf Ihrem Server, mit PHP und Datenbank. Astro baut sie einmal vorab. Ausgeliefert werden nur noch fertige Dateien, ohne Möglichkeit von Externen, diese zu verändern.
Patch auf dem Server nötig. Bis dahin: Seite offline oder Risiko tragen.
- BesucherBrowser, Bots, AngreiferInternet
- WebserverApache oder Nginx, offen im Netzpatchen
- PHP-Laufzeitführt bei jedem Aufruf Code ausPHP2Shell
- WordPress CoreUpdates mehrmals im Jahrpatchen
- Theme und Page Builderoft individuell angepasst, selten gepflegtpatchen
- PluginsFormulare, SEO, Cookies, Cache, Sliderpatchen
- MySQL-DatenbankInhalte, Nutzer, Formulardatenpatchen
- /wp-adminLogin, öffentlich erreichbarabsichern
- BesucherBrowser, Bots, AngreiferInternet
- CDN mit TLSEU-Region, Edge-Caching, DDoS-Schutzmanaged
- Fertige HTML-, CSS- und Bilddateienvorab gebaut, nichts läuft zur Laufzeitstatisch
- Formular-Funktionisoliert, serverlos, ohne Zugriff auf die Seiteisoliert
- Webserver
- PHP-Laufzeit
- WordPress Core
- Theme
- Plugins
- MySQL
- /wp-admin
In wenigen Schritten zum Relaunch.
Kein neues Projekt mit Konzeptphase und Agentur-Pitch. Erst wird Ihre bestehende Seite 1:1 überführt. Verbessern können wir danach in Ruhe.
Der Agent macht die Fleißarbeit. Unsere Projektmanager verantworten das Ergebnis. Jede Seite wird geprüft, bevor sie live geht.
Inventur
Wir crawlen Ihre komplette Seite: Seiten, Beiträge, Medien, Formulare, Weiterleitungen, Meta-Daten. Sie sehen die vollständige Liste, bevor eine Zeile Code entsteht.
- Sitemap
- Medien
- Redirects
- Formulare
Plugin-Entzug
Für jedes Plugin fällt eine Entscheidung: als Code nachbauen, durch einen schlanken Dienst ersetzen oder streichen. Aus einem Plugin-Zoo werden ein paar Zeilen Code, die Ihnen gehören. Externe Sicherheitsrisiken werden eliminiert.
- Nachbauen
- Ersetzen
- Streichen
1:1-Nachbau in Astro
Design, Texte und Struktur werden als Astro-Komponenten nachgebaut. Ihre Kunden werden optisch keinen Unterschied sehen, spüren aber eine bessere Ladezeit.
- Astro
- TypeScript
- Git-Repository
Abgleich Seite für Seite
Screenshots alt gegen neu, Link-Check, Redirect-Check, Titel und Beschreibungen. Jede Abweichung steht im Bericht. Ein Mensch gibt frei.
- Visueller Abgleich
- SEO-Check
- Freigabe
Go-live
Umschalten per DNS in Minuten, auf einer Staging-Umgebung vorher getestet. Die alte Seite bleibt als Fallback geparkt, bis Sie das grüne Licht geben.
- Staging
- DNS-Switch
- Rollback
Was sich für Sie ändert.
Wir sprechen
aus eigener Erfahrung.
truenode.co lief lange Zeit auf WordPress. Heute läuft die Seite auf Astro, ausgeliefert als statische Dateien. Migriert mit genau dem Agenten und dem Ablauf, den wir Ihnen anbieten.
Erst den Brand löschen. Dann umbauen.
Vier Schritte gegen PHP2Shell
- PHP-Version prüfen. Im Kundenbereich Ihres Hosters, meist unter „PHP-Einstellungen“.
- Auf eine gepatchte Version wechseln:
8.5.128.4.278.3.36oder8.2.35. Docker-Container brauchen ein neues Image. - Kein Update möglich? Das PHP-Team nennt Übergangslösungen wie
session.upload_progress.enabled=0,max_input_nesting_level=8undexpose_php=0, selbst aber „nichts anderes als eine temporäre Krücke“. Gleiches gilt für WAF-Regeln, etwa bei Cloudflare. - PHP 7.4 bis 8.1? Backports sind angekündigt. Wer so alt unterwegs ist, sollte die Gelegenheit trotzdem für ein Upgrade nutzen. Oder für den Umzug.
Wir frieren Ihre bestehende Seite als reine HTML-Kopie ein und stellen sie über ein CDN wieder ins Netz. Kontaktformulare laufen über eine isolierte Funktion. Ihre Kunden sehen dieselbe Seite, Angreifer finden kein PHP mehr. Die saubere Migration machen wir danach in Ruhe.
Notfall melden →Wie gefährdet ist
Ihre Website?
Jetzt mit wenigen Antworten zu Ihrem Risiko-Index.
FAQ.
Verlieren wir unsere Google-Rankings?
Nicht, wenn man es richtig macht. URLs bleiben gleich, wo das nicht geht, gibt es 301-Weiterleitungen. Titel, Beschreibungen, strukturierte Daten und Sitemap ziehen mit um. Schnellere Ladezeiten helfen eher, als dass sie schaden.
Wie pflegt unser Marketing danach Inhalte?
Drei Wege, je nach Team: eine CMS-Oberfläche für Redakteure, Markdown-Dateien im Repository für technische Teams, oder Sie schreiben dem Agenten eine Nachricht („Neue Stellenanzeige auf die Karriereseite“), er setzt die Änderung um und Sie geben frei.
Was ist mit Kontaktformularen, Newsletter und Cookie-Banner?
Formulare laufen über eine isolierte, serverlose Funktion mit Mailversand. Newsletter-Tools werden per Schnittstelle angebunden. Und wer weniger Tracking-Plugins hat, braucht oft auch einen deutlich kleineren Cookie-Banner.
Wir haben einen WooCommerce-Shop oder einen Kundenbereich.
Dann sagen wir es ehrlich: Dynamische Teile migrieren wir nicht blind. Wir trennen sauber. Die Unternehmensseite wird statisch, Shop oder Portal laufen als eigenes, gehärtetes System oder als SaaS. Was davon für Sie sinnvoll ist, klären wir im Check.
Wie lange dauert das?
Für eine typische Unternehmensseite rechnen wir in Wochen, nicht Monaten. Die genaue Dauer steht nach der Inventur fest, also nachdem der Agent Ihre Seite einmal komplett erfasst hat. Mit der Notfall-Option sind Sie schon vorher wieder online.
Was kostet das?
Der Migrations-Check ist ein unverbindliches Gespräch. Danach bekommen Sie ein verbindliches Angebot auf Basis der Inventur, keine offene Stundenrechnung. In vielen Fällen sinken danach Ihre laufenden Kosten für Hosting und Wartung.
Wo wird gehostet und wem gehört der Code?
Gehostet wird da, wo Sie möchten, sofern möglich auch bei Ihrem bestehenden Anbieter. Der Code liegt in Ihrem Git-Repository und gehört Ihnen. Keine Lizenz, kein Lock-in.
Die nächste Lücke kommt. Die Frage ist, ob Ihre Website dann noch PHP spricht.
30 Minuten Migrations-Check: Wir schauen uns Ihre Seite an und sagen Ihnen ehrlich, ob sich der Umzug lohnt, was er kostet und wie schnell er geht.
