Aktuelle Sicherheitswarnung · BSI, 21.10.2026
Ihre Website läuft.Aber ist sie wirklich sicher?
Die aktuelle PHP-Sicherheitswarnung zeigt, wie schnell unbemerkte Risiken entstehen können. WebGainer prüft kostenlos, was von außen erkennbar ist, und zeigt zusätzlich, wie gut Ihre Website Kunden überzeugt.
- In etwa einer Minute
- Kostenlos, ohne Konto
- Sicherheitscheck + Website-Analyse
Sicherheitscheck
PHP-Version: verborgen
Website-Analyse
Nutzerführung
3/ 10
Wenn es Sie trifft
Was passiert, wenn Fremde Ihre Website übernehmen?
Über die Lücke können Fremde ohne Passwort eigenen Code auf dem Server ausführen. Das kann für Ihr Geschäft heißen:
- 01
Fremde Inhalte unter Ihrem Namen
Ihre Kunden sehen plötzlich Porno-, Glücksspiel- oder Betrugsseiten statt Ihrer Angebote.
- 02
Fremde lesen mit
Kontaktformulare, Kundendaten, Bestellungen. Oder sie legen Schadsoftware ab, die Ihre Besucher ansteckt. Datenpannen müssen Sie in der Regel binnen 72 Stunden melden.
- 03
Google warnt, Anfragen bleiben aus
Besucher sehen einen roten Warnhinweis, der Hoster nimmt die Seite vom Netz, Ihre Mails landen im Spam.
- 04
Teure Aufräumarbeit
Erst muss ein Fachmann aufwendig prüfen, ob und wo eingebrochen wurde. Oft ist danach nur ein Neubau wirklich sicher.
Die Lücke wird bereits ausgenutzt. Angreifer suchen automatisiert nach Seiten, die noch nicht aktualisiert sind.
Je länger eine bekannte Lücke offen ist, desto eher wird sie gefunden. Ob Ihre Seite dazugehört, verrät Ihr Server oft schon von außen.
Mehr als ein Sicherheitscheck
Ein kostenloser Check. Zwei Antworten.
Nach den Meldungen fragen sich viele Betreiber, ob sie handeln müssen. Wir sagen es Ihnen in Klartext und prüfen dabei gleich die ganze Website.
Ist meine Website betroffen?
Wir lesen, was Ihr Server von außen verrät, und sagen Ihnen, ob Sie handeln sollten und was Sie Ihren Hoster fragen. Was wir von außen nicht sehen, sagen wir auch.
Bringt mir meine Website Kunden?
Im selben Durchlauf bewerten wir zehn Bereiche: ob Besucher Ihr Angebot verstehen, Ihnen vertrauen, auf dem Handy zurechtkommen und Sie anfragen. Die drei größten Hebel sehen Sie sofort.
Sie haben nichts zu verlieren.
- Kostenlos, ohne Konto
- Ergebnis in etwa einer Minute
- Vollständige Auswertung kostenlos per E-Mail
- Kein Technikwissen nötig
Die Alternative: Ihren Hoster fragen und auf eine Antwort warten.
In drei Schritten zur ersten Einschätzung
- 01
Adresse eingeben
Ihre Website-Adresse, sonst nichts.
- 02
Prüfung läuft
Etwa eine Minute. Sie können zuschauen.
- 03
Ergebnis mit nächstem Schritt
Was wir sehen konnten und was Sie jetzt tun.
Was ist PHP, und was heißt die Lücke?
Was ist PHP?
Die Technik, mit der Ihre Website auf dem Server läuft, bei fast jeder WordPress-Seite. Sie sehen davon nichts.
Was heißt die Lücke?
Fremde können ohne Passwort eigenen Code auf dem Server ausführen. Damit lässt sich eine Website verändern oder übernehmen.
Was hilft?
Ein Update auf eine sichere Version: 8.2.35 · 8.3.36 · 8.4.27 · 8.5.12 oder neuer. Das erledigt meist Ihr Hoster.
Quellen: Cybersicherheitswarnung des Bundesamts für Sicherheit in der Informationstechnik (BSI) vom 21.10.2026 · Sicherheitsupdates auf php.net vom 21.10.2026
Kein leeres Versprechen
Eine von drei Antworten. Und was Sie dann tun.
Wir sagen Ihnen genau, was von außen erkennbar war, und nicht mehr.
Betroffene Version gemeldet
Update nötig
Ihr Server meldet eine PHP-Version, in der die Lücke steckt. Manche Hoster bauen die Korrektur ein, ohne die Nummer zu ändern. Auch darauf weisen wir hin.
Nächster Schritt
Den Hoster bitten, PHP zu aktualisieren, oder uns zum Festpreis beauftragen.
Nicht eindeutig prüfbar
Version verborgen
Ihre Seite läuft mit PHP, der Server verrät die Version aber nicht. Von außen lässt sich nicht sagen, ob sie betroffen ist.
Nächster Schritt
Die PHP-Version im Kundenbereich Ihres Hosters nachsehen oder den Hoster fragen.
Keine Auffälligkeit erkannt
Von außen kein Hinweis
Der Server meldet eine sichere Version, oder es ist kein PHP erkennbar. Das ist kein Sicherheitsnachweis, nur das, was von außen sichtbar ist.
Nächster Schritt
Updates und Wartung weiter regelmäßig sicherstellen.
Wer dahinter steht
Wir behaupten nichts, was Sie nicht nachprüfen können.
Hinter WebGainer steht Ralph Appel, Gründer von RAVARO Systems. Er baut Websites für Unternehmen, seit sie noch aus HTML und Flash bestanden, und bringt 20 Jahre Erfahrung in Prozessen und Ursachenanalyse mit, unter anderem als Projektleiter bei Mercedes-AMG.
Wir haben selbst nachgemessen
Am 22.10. haben wir die 24 zuletzt geprüften Websites angesehen: 13 laufen erkennbar mit PHP, bei 3 ist die Version sichtbar. Eine davon meldet eine betroffene Version, eine weitere eine, für die es gar keine Updates mehr gibt.
Amtliche Quellen statt Schätzung
Wir gleichen mit der Warnung des BSI und den offiziellen Sicherheitsupdates auf php.net ab, nicht mit Gerüchten aus Foren.
Sie sehen jeden Schritt
Das Prüfprotokoll zeigt, was Ihr Server meldet und womit wir es vergleichen. Ihr Hoster kann es mit einem Blick bestätigen.
Wir sagen auch, was wir nicht sehen
Ob schon jemand eingebrochen ist, kann von außen niemand sagen. Wenn wir etwas nicht erkennen, steht das genau so im Ergebnis.
- Website aufgerufen wie ein normaler Besucher
- Server antwortet: X-Powered-By: PHP/8.3.35
- Abgleich mit der sicheren Version: 8.3.35 < 8.3.36
- Dazu: zehn weitere Punkte Ihrer Website bewertet
- → Ergebnis: Betroffene Version gemeldet
Wir lesen nur, was Ihr Server jedem Besucher öffentlich mitteilt.
Mehr als Technik
Ihre Website ist mehr als ihre PHP-Version.
Während wir Ihre Website technisch prüfen, bewerten wir auch die zehn Bereiche, die über Anfragen entscheiden: ob Besucher verstehen, was Sie anbieten, ob die Seite auf dem Handy funktioniert und ob Google sie findet. Mit Note, Beleg und Empfehlung je Bereich.
So sieht Ihr Ergebnis aus
Ihre Website verliert gerade messbar Anfragen.
Brauerei, 20 Fundstellen. Die drei teuersten:
- Nutzerführung3/10
- Angebot3/10
- Tempo2/10
So sieht Ihr Ergebnis nach etwa einer Minute aus.
- Erster Eindruck
- Versteht ein Fremder in drei Sekunden, worum es geht?
- Nutzerführung
- Weiß der Besucher, was er als Nächstes tun soll?
- Vertrauen
- Gibt es Belege, oder nur Behauptungen über sich selbst?
- Angebot
- Wird klar, warum man ausgerechnet bei Ihnen kaufen soll?
- Texte
- Sprechen Sie über den Kunden oder über sich selbst?
- Gestaltung
- Führt das Auge, oder muss man suchen?
- Handy
- Funktioniert die Seite dort, wo die meisten Besucher sind?
- Tempo
- Ist die Seite da, bevor der Besucher weg ist?
- Recht
- Impressum, Datenschutz, Cookies: sauber oder riskant?
- Auffindbarkeit
- Findet Google überhaupt, was Sie anbieten?
Und wenn Ihre Website mehr braucht als ein Update?
Unsere Websites brauchen kein PHP und keine Plugin-Sammlung, diese Lücke betrifft sie nicht. Im vollständigen Report können Sie einen kostenlosen Entwurf für Ihre neue Seite anfragen.
Häufige Fragen
Was Sie vermutlich gerade denken.
Greifen Sie meine Website an?
Nein. Wir rufen Ihre Website so auf, wie es jeder Besucher tut, und lesen die Angaben, die Ihr Server dabei von sich aus mitschickt. Wir probieren keine Lücke aus.
Was, wenn die Version verborgen ist?
Dann sagen wir Ihnen das ehrlich. Sie erfahren, wo Sie die Version selbst nachsehen oder was Sie Ihren Hoster fragen.
Mein Hoster sagt, alles ist aktuell.
Gut. Dann zeigt der Report das auch. Manche Hoster bauen die Korrektur ein, ohne die Versionsnummer zu ändern. Auch darauf weisen wir hin.
Was kostet das?
Die Prüfung ist kostenlos. Für den vollständigen Report hinterlegen Sie Ihre E-Mail-Adresse. Soll das Problem gelöst werden, bekommen Sie unser Festpreis-Angebot per E-Mail.