IONOS hat das offizielle Update gegen die PHP-Sicherheitslücke PHP2Shell nach eigenen Angaben auf allen Plattformen eingespielt, die das Unternehmen selbst betreibt. Wer bei IONOS Webhosting, Managed WordPress oder MyWebsite nutzt, muss laut IONOS nichts tun. Anders ist es bei einem eigenen VPS oder Dedicated Server: Dort müssen Sie PHP selbst aktualisieren. Prüfen Sie außerdem im IONOS Konto, welche PHP-Version Ihre Website nutzt.
Wils Solutions ist IONOS Agency Partner. Dieser Beitrag fasst die Angaben von IONOS zusammen und ergänzt, was Sie selbst prüfen können. Er ist keine offizielle Mitteilung von IONOS.
Was ist passiert?
Am 21. Oktober 2026 hat das PHP-Projekt zwei kritische Sicherheitslücken geschlossen, bekannt als PHP2Shell. Angreifer können damit ohne Passwort Code auf Webservern ausführen. Was hinter der Lücke steckt, lesen Sie in unserem Beitrag PHP-Sicherheitslücke PHP2Shell.
Bei IONOS lief es laut Statusseite so ab:
- 21. Oktober, 14:26 Uhr: IONOS schaltet Managed-Nextcloud-Instanzen vorsorglich ab. Um 22:55 Uhr sind sie wieder verfügbar.
- 21. Oktober, 17:44 Uhr: IONOS beginnt mit dem Einspielen der Updates. Websites können dabei kurz langsam oder nicht erreichbar sein.
- 22. Oktober, 13:03 Uhr: Die Wartung ist abgeschlossen. IONOS meldet: Websites und Hosting bei IONOS sind geschützt.
Bis das Update eingespielt war, haben laut IONOS angepasste PHP-Einstellungen und Firewall-Regeln verdächtige Anfragen blockiert.
Muss ich als IONOS-Kunde etwas tun?
| Ihr IONOS-Produkt | Wer spielt das Update ein? | Was Sie tun |
|---|---|---|
| Webhosting | IONOS | PHP-Version im Konto prüfen |
| Managed WordPress | IONOS | nichts, IONOS verwaltet die PHP-Version |
| MyWebsite | IONOS | nichts, IONOS verwaltet die PHP-Version |
| Managed Nextcloud, HiDrive Next | IONOS | nichts |
| VPS oder Dedicated Server, selbst verwaltet | Sie selbst | PHP sofort aktualisieren |
Cloud Server nennt IONOS in seiner Mitteilung nicht. Läuft PHP dort in Ihrer eigenen Verantwortung, gilt dasselbe wie beim VPS: Sie aktualisieren selbst.
Offen ist bisher, was für ältere PHP-Versionen gilt, die IONOS im „PHP Extended Support“ weiter betreibt. Dazu sagt die Mitteilung von IONOS nichts. Nutzen Sie eine solche Version, fragen Sie beim IONOS-Support nach oder wechseln Sie auf eine aktuelle Version.
So prüfen Sie die PHP-Version im IONOS Konto
Für Webhosting-Pakete und Managed Dedicated Server beschreibt die IONOS-Hilfe diesen Weg:
- Melden Sie sich in Ihrem IONOS Konto an.
- Klicken Sie oben auf Menü und dann auf Hosting. Haben Sie mehrere Verträge, wählen Sie den passenden aus.
- Klicken Sie in der Kachel PHP auf Verwalten.
- Auf der Seite PHP-Einstellungen sehen Sie, welche Domain welche PHP-Version nutzt.
- Um zu wechseln, klicken Sie auf die Domain, wählen eine aktuelle Version und klicken auf Speichern. Prüfen Sie danach Ihre Website.
Der Wechsel auf eine aktuelle Version ist laut IONOS kostenlos. IONOS nennt als Beispiel PHP 8.4 für WordPress, Joomla und Drupal. Wichtig ist, dass Ihr Redaktionssystem und Ihre Erweiterungen die Version unterstützen.
Was Sie heute tun sollten
- Klären Sie, welches Produkt Sie haben. Das steht in Ihrem IONOS Konto unter Ihren Verträgen.
- Webhosting: Prüfen Sie die PHP-Version wie oben beschrieben. Läuft noch eine alte Version, wechseln Sie.
- Eigener Server: Aktualisieren Sie PHP auf 8.5.12, 8.4.27, 8.3.36 oder 8.2.35 und starten Sie den Dienst neu. Betreut eine Agentur den Server, fragen Sie: „Ist das Update für PHP2Shell auf unserem IONOS-Server eingespielt? Welche PHP-Version läuft jetzt?“
- Vorsicht bei E-Mails. IONOS warnt ausdrücklich: Klicken Sie keine Links in E-Mails an, die sich auf die PHP-Lücke berufen, und geben Sie keine Zugangsdaten ein. Echte Hinweise finden Sie in Ihrem IONOS Konto und auf der Statusseite.
Reichen die Firewall-Regeln von IONOS?
Auf den Hosting-Plattformen ja, denn dort ist laut IONOS inzwischen das offizielle Update eingespielt. Die Firewall-Regeln waren nur die Überbrückung bis dahin. IONOS sagt selbst: Nur das offizielle Update schließt die Lücke dauerhaft. Auf einem eigenen Server schützt Sie die Hosting-Firewall nicht.
Was das für die Zukunft heißt
Beim Webhosting nimmt Ihnen IONOS solche Updates ab. Bei einem eigenen Server liegt die Verantwortung bei Ihnen oder Ihrer Agentur. Beides ist in Ordnung, solange klar ist, wer zuständig ist. Und eine alte PHP-Version im Extended Support verschafft Zeit, ersetzt aber keinen Umstieg.
Webhosting patcht IONOS. Den eigenen Server patchen Sie. Wissen Sie, was Sie haben?
Häufige Fragen
Ist meine Website bei IONOS von PHP2Shell betroffen?
Bei Webhosting, Managed WordPress, MyWebsite, Managed Nextcloud und HiDrive Next hat IONOS das offizielle PHP-Update laut eigener Mitteilung vom 22. Oktober 2026 eingespielt. Kunden müssen dort nichts tun. Auf einem selbst verwalteten VPS oder Dedicated Server müssen Sie PHP selbst aktualisieren.
Ist die PHP-Sicherheitslücke bei IONOS behoben?
Für die Plattformen, die IONOS selbst betreibt, ja. Laut IONOS-Statusseite war die Wartung am 22. Oktober 2026 um 13:03 Uhr abgeschlossen.
Wie ändere ich die PHP-Version bei IONOS?
Im IONOS Konto über Menü, Hosting, Kachel PHP, Verwalten. Dort wählen Sie die Domain, eine aktuelle Version und speichern. Bei Managed WordPress und MyWebsite verwaltet IONOS die Version selbst.
Was gilt für den PHP Extended Support bei IONOS?
In der Mitteilung von IONOS zu PHP2Shell steht dazu nichts. Wenn Sie eine ältere PHP-Version im Extended Support nutzen, fragen Sie beim IONOS-Support nach oder wechseln Sie auf eine aktuelle Version.
Ich habe eine E-Mail zur PHP-Lücke bekommen. Ist die echt?
Vorsicht. IONOS rät, keine Links in E-Mails anzuklicken, die sich auf die PHP-Lücke berufen, und keine Zugangsdaten einzugeben. Informationen finden Sie direkt im IONOS Konto und auf ionos-status.de.