- Am Tag der Offenlegung waren 3,9 Millionen Websites mit sichtbarer PHP-Version in den EU-Staaten, Schweiz und Liechtenstein verwundbar – das sind 11,2 Prozent der 34,9 Millionen erreichbaren Websites
- Die Hälfte davon lief bei der Erstmessung bereits auf einer korrigierten Version
- Österreich zählt nach der Nachmessung noch verwundbare 28.622 Websites, 18,1 Prozent haben zu dem Zeitpunkt bereits gepatcht
- Deutschland ist mit 259.891 verwundbaren Websites und einer Patchrate von nur 5,8 Prozent am langsamsten; Litauen, Zypern, Malta und Estland mit rund 38 bis 40 Prozent am schnellsten
- 81 Prozent der Betroffenen laufen auf PHP-Versionen ohne Sicherheitsupdates, im Schnitt seit 4,7 Jahren, fast jede fünfte seit über sieben Jahren
- Jeder verwundbare Server hat im Schnitt 72 bekannte PHP-Lücken offen, davon 22 kritische
- Fast die Hälfte der zuordenbaren Betroffenen sind Hotels, Händler, Transportunternehmen und Gastronomiebetriebe
- Über verwundbare Shops und Buchungsseiten können Angreifer:innen auch die Kund:innen erreichen
Wien, 30. Oktober 2026 (Datenstand 28.10.2026, 23:06 UTC, Nachmessung 23:14 UTC) – Eine Woche nach dem Notfall-Update für die Programmiersprache PHP liegt erstmals ein vollständiges Bild für Europa vor. risikomonitor.com hat gemeinsam mit EY Österreich die Websites aller 27 EU-Staaten, der Schweiz und Liechtensteins erhoben und alle Betroffenen seither nachgeprüft, Deutschland eingeschlossen. Das Ergebnis ist zweigeteilt: Wer patchen konnte, hat es schnell getan. Wer heute noch verwundbar ist, hängt fast immer an einer PHP-Version, die schon lange vor PHP2Shell aufgegeben wurde.
Die aktuelle Vollerhebung in 29 europäischen Ländern ergibt konkret: Binnen Tagen sank der Anteil verwundbarer Websites von 11,2 auf 5,6 Prozent. Was übrig bleibt, läuft zu vier Fünfteln (81 %) auf PHP-Versionen, die im Schnitt seit 4,7 Jahren keine Sicherheitsupdates mehr bekommen und Dutzende weitere bekannte Lücken offen haben. In Österreich melden 46.182 von 1.059.104 erreichbaren Websites eine verwundbare PHP-Version. Bei der Nachmessung waren davon noch 28.622 verwundbar, 6.322 hatten gepatcht – eine Patchrate von 18,1 Prozent.
„Die veränderte Bedrohungslage macht es notwendig, Cyberstrategien und Informationssicherheitsmaßnahmen kritisch zu hinterfragen und insbesondere auf den zunehmenden Einsatz von KI auf Angreiferseite auszurichten. Aktuell sehen wir gerade in diesem Bereich eine erhöhte Nachfrage“, so Gottfried Tonweber, Partner bei EY.
Die erste Welle: die Hälfte war sofort sicher
Vor dem 21. Oktober gab es keine korrigierte PHP-Version, am Tag der Offenlegung war also jede Website mit sichtbarer PHP-Version verwundbar. Bei der Erstmessung lief bereits die Hälfte davon auf einem korrigierten Stand – schneller als bei früheren großen Lücken wie Heartbleed 2014. Das spricht für automatische Updates bei Hostern und verwalteten Plattformen. Danach flacht die Kurve ab: Von den erneut geprüften und erreichbaren Betroffenen haben bis 28. Oktober nur 18,1 Prozent nachgezogen.
Seither wird laufend nachgeprüft, wie viele der Betroffenen nachziehen. Die Patchrate, also der Anteil der erneut geprüften und erreichbaren Websites, die inzwischen auf einer korrigierten Version laufen, stieg außerhalb Deutschlands von 10,0 Prozent am 24. Oktober auf 19,4 Prozent am 27. Oktober um 11:55 UTC. Anfangs kamen rund vier Prozentpunkte pro Tag dazu, danach nur noch rund 1,5. Nach der Ausweitung auf alle Betroffenen lag sie am 28. Oktober bei 19,5 Prozent und am Abend bei 21,2 Prozent. Dieser letzte Anstieg kommt aber kaum von Patches: Vor allem in den Niederlanden und in Belgien zeigen zehntausende Websites ihre PHP-Version nicht mehr an, ob sie gepatcht sind, ist offen. Deutschland wurde am 28. Oktober erstmals nachgemessen und liegt mit 5,8 Prozent weit zurück. Am weitesten sind Litauen (39,7 %), Zypern (38,7 %) und Malta (38,1 %). Für ganz Europa beträgt der Durchschnitt 18,1 Prozent. Österreich liegt gleichauf mit dem Durchschnitt bei 18,1 Prozent.
Der harte Rest: 18 Prozent über sieben Jahre ohne Sicherheitskorrektur
Wer heute noch verwundbar ist, kann meist gar nicht einfach updaten. 80,9 Prozent der Betroffenen laufen auf PHP-Zweigen, deren Unterstützung ausgelaufen ist, allen voran PHP 7.4.33, das seit November 2022 keine Korrekturen mehr erhält und mit 433.064 Websites die häufigste verwundbare Version in Europa ist.[1] Im Schnitt warten diese Server seit 4,7 Jahren auf ein Update, das nicht mehr kommt. 18,3 Prozent der Betroffenen, rund 328.000 Websites, laufen seit über sieben Jahren ohne Sicherheitskorrektur, 6,7 Prozent seit über zehn Jahren.
PHP2Shell ist für diese Server nur die jüngste von vielen Lücken. Gleicht man die Versionsstände mit der US-Schwachstellendatenbank NVD ab, hat jeder verwundbare Server im Schnitt 72 bekannte PHP-Lücken offen, davon 22 kritische.[2] Am größten ist die Altlast in Dänemark mit 138 offenen Lücken je Server, wo allein 11.637 Websites auf PHP 5.2.17 aus dem Jahr 2011 laufen, gefolgt von der Slowakei und Tschechien. Österreich liegt mit 68 knapp unter dem europäischen Schnitt, Deutschland mit 85 darüber.
Ländervergleich: Österreichs Patchrate von 18,1 Prozent auf EU-Schnitt
Der Anteil verwundbarer Websites reicht von 2,5 Prozent in der Slowakei bis 14,4 Prozent in Portugal, gefolgt von Kroatien und Slowenien mit rund 12 Prozent. In absoluten Zahlen wiegen die großen Webmärkte am schwersten: Deutschland, die Niederlande und Frankreich stellen zusammen die Hälfte aller Betroffenen in Europa. Der europäische Durchschnitt liegt bei 5,6 Prozent.
In Österreich melden 46.182 von 1.059.104 erreichbaren Websites eine verwundbare PHP-Version, das entspricht 4,4 Prozent und liegt unter dem europäischen Schnitt von 5,6 Prozent.
75,7 Prozent davon laufen auf Versionen ohne Sicherheitsupdates, an der Spitze PHP 7.4.33 mit 12.519 Websites. Bei der Nachmessung waren davon noch 28.622 verwundbar, 6.322 hatten gepatcht. Das entspricht einer Patchrate von 18,1 Prozent. Am häufigsten betroffen sind Hotels und Pensionen, gefolgt von Arztpraxen und KFZ-Werkstätten.
In der Schweiz meldeten 54.246 Websites (3,0 %) eine verwundbare Version, angeführt von PHP 7.3.33; bei der Nachmessung waren noch 22.286 offen. Deutschland hat mit 426.854 verwundbaren Websites (3,2 %) die meisten in Europa; 94,5 Prozent davon laufen auf Versionen ohne Sicherheitsupdates. Bei der Nachmessung waren in Deutschland noch 259.891 Websites verwundbar und nur 15.953 gepatcht. Deutschland weist somit eine Patchrate von 5,8 Prozent auf – die niedrigste in Europa.
Wen es trifft: vom Server bis zu Kund:innen
Wo sich die Betroffenen einer Branche zuordnen lassen, stellen Hotellerie, Handel, Transport und Gastronomie zusammen fast die Hälfte. Es trifft vor allem kleine Betriebe, die ihre Website extern erstellen lassen und keine eigene IT-Sicherheit haben. Fast neun von zehn Websites mit erkennbarem Content-Management-System laufen mit WordPress, über 19.400 Online-Shops mit PrestaShop, Magento oder Shopware.
Damit reicht die Lücke über den Betreiber hinaus. Wer einen Shop-Server übernimmt, kann Zahlungsdaten der Kund:innen beim Bezahlen abgreifen, wie eine von Europol koordinierte Aktion bei 443 kompromittierten Onlinehändlern gezeigt hat.[3] Andere Kampagnen nutzen gehackte Websites, um Besucher:innen Schadsoftware als falsches Browser-Update unterzuschieben; im Juni 2026 wurden bei einer internationalen Polizeiaktion 14.971 solcher Websites bereinigt.[4]
Die Rolle der Hoster
15 große Anbieter vereinen 60 Prozent der verwundbaren Websites auf sich, bei vergleichbarer Größe reicht ihre Quote von 0,8 bis 97,8 Prozent. Wo ein Hoster PHP zentral pflegt, sind seine Kunden ohne eigenes Zutun geschützt. Das gilt aber nicht für alle: Bei OVH, Hetzner und Amazon handelt es sich mit hoher Wahrscheinlichkeit um Server in Eigenverantwortung der Kunden ohne Managed Service; eine Detailprüfung je Anbieter fand nicht statt. Dort hilft nur die direkte Ansprache der Betreiber.
Für Anbieter mit verwaltetem Angebot gilt die Pflicht, Sicherheitspatches binnen angemessener Frist einzuspielen, nach NIS2 und der europäischen Durchführungsverordnung schon heute.[5]
Zentral handelnde Hoster haben schnell reagiert; Altlasten bleiben hängen
PHP2Shell hat eine schnelle erste Welle ausgelöst: Innerhalb weniger Tage hat sich der Anteil verwundbarer Websites halbiert. Wer dabei auf eine korrigierte Version aktualisiert hat, hat zugleich alle älteren Korrekturen seines PHP-Zweigs eingespielt. Der verbleibende Bestand ist aber kein Nachzügler-Problem, sondern eine Altlast: Diese Server laufen seit Jahren ohne Sicherheitsupdates und tragen Dutzende bekannte Lücken mit sich. Ohne gezielte Ansprache von Hostern und Betreibern bleiben sie auch in Monaten offen.
„PHP2Shell hat gezeigt, wie schnell es gehen kann, wenn Hoster zentral handeln. Der Rest ist ein Spiegel dessen, was seit Jahren liegen geblieben ist: Fast jede fünfte verwundbare Website läuft seit über sieben Jahren ohne Sicherheitsupdate“, sagt Manuel Löw-Beer, Founder und CEO von risikomonitor.com. „Wer heute noch PHP 7 oder älter betreibt, braucht kein Update, sondern einen Umzug auf eine aktuelle Version. Das sollte jetzt passieren und nicht beim nächsten Vorfall.“
Betreiber sollten PHP auf 8.5.12, 8.4.27, 8.3.36 oder 8.2.35 aktualisieren und danach alle PHP-Prozesse neu starten.[6] Ein Update von WordPress oder einer anderen Anwendung allein reicht nicht, entscheidend ist die PHP-Version am Server. Wer noch PHP 8.1 oder älter einsetzt, muss auf eine unterstützte Version wechseln. Bei gemietetem Webspace ist der Hoster der richtige Ansprechpartner, bei eigenen oder gemieteten Servern der Betreiber selbst.
Unter php.risikomonitor.com können Betreiber ihre Website kostenlos prüfen.
Zusatzinformationen:
Über PHP2Shell
Unter dem Namen PHP2Shell werden zwei Schwachstellen im Kern von PHP zusammengefasst, CVE-2026-109618 und CVE-2026-109619, beide mit 9,2 von 10 Punkten als kritisch eingestuft. Das PHP-Projekt kündigte am 20. Oktober eine Notfall-Veröffentlichung an[7] und stellte am 21. Oktober die korrigierten Versionen 8.5.12, 8.4.27, 8.3.36 und 8.2.35 bereit.[8] Die Lücken erlauben es, ohne Anmeldung eigenen Code auf dem Server auszuführen. Angriffe werden seit dem 21. Oktober beobachtet, betroffen sind auch alte Versionen bis zurück zu PHP 5.[9] Für PHP 8.1 und älter gibt es vom PHP-Projekt keine offiziellen Updates mehr.[10]
Über die Erhebung
Grundlage sind die 46,1 Millionen registrierten Domains der 29 Länder, ausgewertet bis 28. Oktober 2026, 23:06 Uhr UTC. 34,9 Millionen davon antworteten mit einer erreichbaren Website. Ausgewertet wird die Versionskennung, die ein Webserver bei jedem gewöhnlichen Seitenaufruf öffentlich mitsendet. Es wird kein Angriffscode eingesetzt, kein Exploit ausgeführt, kein Anmeldeversuch unternommen und kein Penetrationstest durchgeführt. Alle Betroffenen werden laufend nachgeprüft, seit 28. Oktober in allen 29 Ländern einschließlich Deutschland, und dabei einer Branche und dem eingesetzten Content-Management-System zugeordnet.
Quellenprüfung und Transparenz
Alle Zahlen zur Verbreitung stammen aus unserer eigenen Analyse mit Datenstand 28.10.2026, 23:06 UTC, die Nachmessung aus 23:14 UTC. Erhoben wurden alle 29 Länder vollständig. Die Nachmessung, die Branchen- und die CMS-Zuordnung umfassen alle 29 Länder einschließlich Deutschland; alle bekannten Betroffenen wurden erneut geprüft. Websites, die bei der Nachmessung nicht erreichbar waren oder ihre Version verbargen, zählen weder als verwundbar noch als gepatcht. Die Hoster-Angaben beruhen auf dem Stand vom 24.10.2026.
Ausgewertet wurde ausschließlich die Versionskennung, die Webserver bei einem gewöhnlichen Seitenaufruf öffentlich mitsenden. Es wurde kein Angriffscode eingesetzt, kein Exploit ausgeführt, kein Anmeldeversuch unternommen und kein Penetrationstest durchgeführt. Einzelne Betreiber werden nicht genannt.
Die Angaben zu Schwachstellen, korrigierten Versionen, Support-Enden und Angriffen wurden an den Originalquellen geprüft und sind in den Fußnoten mit vollständiger Adresse belegt. Die Zahl offener Lücken je Server beruht auf dem Abgleich der Versionsstände mit den Veröffentlichungsdaten der US-Schwachstellendatenbank NVD und ist als Größenordnung zu verstehen.
Über risikomonitor.com
Die risikomonitor.com gmbh mit Standorten in Weikersdorf am Steinfelde und Wien ist auf Darknet Intelligence und Cyber-Risiko-Monitoring spezialisiert. Das Unternehmen überwacht Leak-Seiten, Foren und Messenger-Kanäle auf Daten seiner Kunden, vermisst die öffentliche Infrastruktur von Unternehmen und Behörden und veröffentlicht regelmäßig Studien zur Cybersicherheitslage in Österreich, der Schweiz und Europa, mehrere davon gemeinsam mit EY. Die vollständige Studie „PHP2Shell in Europa“ und das wissenschaftliche Working Paper WP 2026-11 sind auf Anfrage erhältlich
[1]PHP Group, „Unsupported Branches“, am angegebenen Ort.
[2]National Institute of Standards and Technology, National Vulnerability Database, CVE API 2.0, alle CVEs zum Produkt PHP, https://services.nvd.nist.gov/rest/json/cves/2.0 (757 Einträge, davon 363 veröffentlicht ab 2015; abgerufen am 24.10.2026).
[3]Europol, „Action against digital skimming reveals 443 compromised online merchants“, https://www.europol.europa.eu/media-press/newsroom/news/action-against-digital-skimming-reveals-443-compromised-online-merchants (geprüft am 24.10.2026).
[4]Politie (Nationale Polizei der Niederlande), „International law enforcement initiate hunt on malware group SocGholish“, 18.06.2026, https://www.politie.nl/en/news/2026/juni/18/11-international-law-enforcement-initiate-hunt-on-malware-group-socgholish.html (geprüft am 24.10.2026).
[5]Durchführungsverordnung (EU) 2024/2690 der Kommission vom 17.10.2024, Art. 1 und Anhang Nr. 6.6.1, ABl. L vom 18.10.2024.
[6]PHP Group, „Security advisory“, am angegebenen Ort.
[7]PHP Group, „Upcoming Critical PHP Security Release“, php.net, 20.10.2026, https://www.php.net/archive/2026.php#2026-10-20-1 (geprüft am 24.10.2026).
[8]PHP Group, „Security advisory: Critical remote code execution vulnerabilities, update now“, php.net, 21.10.2026, https://www.php.net/archive/2026.php#2026-10-21-5 (geprüft am 24.10.2026).
[9]watchTowr, „Frequently Asked Questions About PHP Remote Code Execution (PHP2Shell CVE-2026-109618 & CVE-2026-109619)“, veröffentlicht 20.10.2026, aktualisiert 23.10.2026, https://watchtowr.com/intelligence/php-cve-2026-109618-faq/ (geprüft am 24.10.2026).
[10]PHP Group, „Unsupported Branches“, php.net, https://www.php.net/eol.php (geprüft am 24.10.2026).