Hetzner

PHP-Sicherheitslücke PHP2Shell bei Hetzner

Hetzner hat PHP 7.4 und 8.0 bis 8.5 im Webhosting und auf Managed Servern gepatcht. An PHP 7.3 und 5.6 wurde am Abend des 21. Oktober noch gearbeitet.

Stand: 22. Oktober 2026 um 00:30 Uhr. Alles hier stammt von den Seiten von Hetzner, die Quellen stehen am Ende.

Was Hetzner zu PHP2Shell sagt

Hetzner hat auf der Statusseite schon am Mittag des 21. Oktober 2026 bestätigt, dass die eigenen PHP-Versionen betroffen sind. Bis zum Update hat Hetzner die Übergangslösungen des PHP-Projekts eingespielt.

Um 19:50 Uhr schrieb Hetzner: „Die PHP-Versionen 7.4 sowie 8.0-8.5 wurden auf allen Webhosting- und Managed-Servern mit gepatchten Versionen aktualisiert. Wir arbeiten weiterhin mit Hochdruck an Backports für ältere PHP-Versionen.“ Gepatcht sind laut Hetzner auch konsoleH, Storage Share (Nextcloud), phpMyAdmin und Webmail.

PHP 7.3 und 5.6, die Hetzner ebenfalls anbietet, waren zu diesem Zeitpunkt noch nicht gepatcht.

Dedicated und Cloud Server

Kunden mit Dedicated oder Cloud Servern informiert Hetzner gesondert per Mail. Dort spielst du das Update selbst ein.

Welche PHP-Versionen Hetzner anbietet

Im Webhosting PHP 5.6, 7.3, 7.4 und 8.0 bis 8.5.

Kostet eine alte PHP-Version extra?

Einen kostenpflichtigen Extended Support haben wir bei Hetzner nicht gefunden. Früher hat Hetzner alte Versionen abgeschaltet und automatisch auf die nächsthöhere umgestellt, etwa PHP 7.1 auf 7.2 im November 2021. Updates der Software kündigt Hetzner laut eigener Doku sechs Wochen vorher an.

So stellst du die PHP-Version um

In der konsoleH den Hosting-Namen wählen, dann links Einstellungen, PHP-Konfiguration. Für einzelne Verzeichnisse geht es auch über die .htaccess.

Quellen

Hetzner-Status: PHP Sicherheitslücken CVE-2026-109618 und CVE-2026-109619, 21. Oktober 2026
Hetzner-Doku: PHP-Konfiguration und Softwareupdates
Hetzner-Status: Abschaltung PHP 7.1, 2021

Was dein Hoster nicht übernimmt

Der Hoster hält PHP und den Server aktuell. Ob deine Website danach läuft und ob sie sicher ist, prüft er meist nicht. Das übernehmen wir, auch wenn wir sie nicht gebaut haben.

Unverbindlich anfragen

Schnelle Rückmeldung innerhalb weniger Stunden.

PHP umstellen, CMS mit aktualisieren.
Wir bringen deine Website auf eine aktuelle PHP-Version. Laufen WordPress, TYPO3, Joomla oder Shop damit nicht mehr, aktualisieren wir sie mit.
Prüfen, ob schon jemand drin war.
Angriffe gab es vor den Updates. Wir sehen nach, ob deine Website verändert wurde, und bereinigen sie, wenn ja.
Bei der nächsten Lücke da sein.
Wir halten PHP, CMS und Erweiterungen aktuell und reagieren, wenn eine neue Lücke bekannt wird.
Oder ganz ohne PHP.
Ändert sich an deiner Website kaum etwas, bauen wir sie als statische Website nach, auf Wunsch im gleichen Design.

Wir prüfen deine Website.

Schick uns die Adresse. Wir sagen dir, ob eine Lücke sie betrifft und was zu tun ist.