Veraltete Website als Sicherheitsrisiko: Warum alte Systeme durch KI gefährlicher werden

Viele Websites und Werkzeuge laufen seit Jahren, ohne dass jemand an ihnen etwas ändert. Solange sie funktionieren, scheint kein Handlungsbedarf zu bestehen. Die unter PHP2Shell bekannt gewordenen Sicherheitslücken vom Oktober 2026 zeigen, warum eine funktionierende Website trotzdem Updates braucht. KI kann Angreifer bei einzelnen Arbeitsschritten unterstützen. Ob eine konkrete Website gefährdet ist, hängt aber von ihren eingesetzten Versionen, ihrer Konfiguration und ihrem Wartungsstand ab.

Was im Oktober 2026 passiert ist

Am 21. Oktober 2026 veröffentlichte das PHP-Projekt Sicherheitsupdates, darunter PHP 8.3.36. Die als PHP2Shell bezeichneten Lücken CVE-2026-109618 und CVE-2026-109619 betreffen die Verarbeitung von Anfragen. Unter bestimmten Bedingungen kann ein Angreifer darüber ohne Anmeldung eigenen Code auf dem Server ausführen.

WordPress, WooCommerce, Shopware, Joomla und TYPO3 nutzen PHP. Der Name des Redaktions- oder Shopsystems allein sagt jedoch nicht, ob eine Installation betroffen oder ein Angriff praktisch möglich ist. Entscheidend sind die PHP-Version einschließlich eingespielter Herstellerkorrekturen, die Serverkonfiguration und die Erreichbarkeit über das Internet. Red Hat beschreibt beispielsweise Unterschiede zwischen PHP-FPM und mod_php. Ein fehlendes Update bedeutet außerdem nicht, dass bereits ein Angriff stattgefunden hat.

Ein WordPress- oder Plugin-Update ersetzt kein Sicherheitsupdate der PHP-Laufzeit. Lassen Sie Ihren Hoster oder Administrator bestätigen, dass die eingesetzte PHP-Version die Korrekturen enthält. Einzelne Konfigurationsmaßnahmen können Risiken begrenzen, ersetzen aber keine vollständige Fehlerbehebung. Für PHP 8.1 und ältere Zweige ist der reguläre Support des PHP-Projekts beendet. Zusätzliche Pflege durch einen Betriebssystemanbieter oder Hoster muss gesondert geprüft werden.

Warum ein System, das funktioniert, trotzdem ein Risiko ist

Eine Website kann jahrelang fehlerfrei laufen und trotzdem angreifbar sein. Ob sie funktioniert, sieht man jeden Tag. Ob sie sicher ist, merkt man meist erst, wenn etwas passiert ist.

Typische Ursachen bei älteren Websites und Werkzeugen:

• Die PHP-Version erhält keine Sicherheitsupdates mehr. Das PHP-Projekt pflegt jede Version vier Jahre lang. PHP 8.1 und älter erhalten keine Korrekturen mehr, PHP 8.2 nur noch bis zum 31. Dezember 2026.
• Das System lässt sich nicht mehr aktualisieren. Individuell programmierte Themes oder alte Erweiterungen laufen oft nur auf der Version, für die sie geschrieben wurden. Wer dann PHP aktualisiert, riskiert, dass die Website nicht mehr funktioniert. Deshalb bleibt das Update oft liegen.
• Niemand ist zuständig. Die Agentur von damals gibt es nicht mehr, die Kollegin, die sich auskannte, ist gegangen, und der Hosting-Vertrag läuft einfach weiter.
• Es gibt vergessene Teile. Alte Testinstallationen, ein Formular auf einer Subdomain oder ein Plugin, das niemand mehr nutzt: Was online ist, kann angegriffen werden, auch wenn es niemand mehr aufruft.

Das betrifft nicht nur Websites. Auch Formulare, Buchungs- und Bestellsysteme oder interne Werkzeuge, die über das Internet erreichbar sind, haben dasselbe Problem.

Die Folgen eines Angriffs reichen von Spam-Seiten und Weiterleitungen auf fremde Inhalte über Warnhinweise in Suchmaschinen bis zum Abfluss von Kundendaten. Bei einer Verletzung des Schutzes personenbezogener Daten muss die verantwortliche Stelle die Meldepflicht prüfen. Ist eine Meldung erforderlich, muss sie ohne Verzögerung erfolgen; angestrebt sind höchstens 72 Stunden ab Bekanntwerden. Die Ausnahme betrifft Verletzungen, bei denen voraussichtlich kein Risiko für die Rechte und Freiheiten betroffener Personen entsteht. Maßgeblich ist Art. 33 DSGVO.

Was KI daran ändert

Automatisierte Angriffe gab es schon vor generativer KI. Forschung und einzelne Vorfallsberichte zeigen, dass KI weitere Arbeitsschritte übernehmen kann. Daraus lässt sich aber keine allgemeine Erfolgsquote für Angriffe auf Unternehmenswebsites ableiten.

Bei Sicherheitsupdates kann wenig Zeit bleiben. Mandiant untersuchte 138 im Jahr 2023 veröffentlichte und nachweislich ausgenutzte Schwachstellen. Die berechnete durchschnittliche Zeit bis zur Ausnutzung lag nach Ausschluss von Ausreißern bei fünf Tagen; ohne diesen Ausschluss waren es 47 Tage. Die Auswertung umfasst auch Angriffe vor der Veröffentlichung eines Patches. Sie ist weder eine Fünf-Tage-Frist für jede Website noch ein Beleg dafür, dass KI diese Entwicklung verursacht hat. Für den Betrieb folgt daraus: Kritische Sicherheitsmeldungen müssen zeitnah bewertet werden. Mandiant/Google

KI-Agenten können bekannte Lücken unter Testbedingungen ausnutzen. Eine Studie von 2024 untersuchte 15 ausgewählte Schwachstellen. Ein GPT-4-Agent konnte mit bereitgestellter CVE-Beschreibung 87 Prozent davon ausnutzen; ohne diese Beschreibung waren es sieben Prozent. Das zeigt ein Potenzial unter den Bedingungen der Untersuchung, keine entsprechende Erfolgswahrscheinlichkeit bei beliebigen Websites. Fang und weitere Autoren

KI wird auch bei realen Angriffen eingesetzt. Anthropic berichtete im November 2025 über eine Spionagekampagne, in der Angreifer einen KI-Agenten für Teile ihrer Arbeit einsetzten. Nach Angaben des Anbieters wurden etwa 30 Organisationen angegriffen; in einer kleinen Zahl von Fällen gelang der Zugriff. Das ist ein Bericht des beteiligten Anbieters über eine konkrete Kampagne, keine Statistik zur gesamten Bedrohungslage. Anthropic

Für kleine Unternehmen, Vereine und Schulen bleibt die praktische Konsequenz dieselbe: Auch eine wenig besuchte Website braucht gepflegte Software und klare Zuständigkeiten. Eine kleine Organisation zu sein, schützt nicht vor automatisierten Angriffen.

„Wir brauchen keine neue Website“

Das stimmt oft. Eine ältere Website muss nicht neu gebaut werden, nur weil sie älter ist. Sie braucht aber jemanden, der sich verantwortlich um sie kümmert. Ein Neubau wird erst nötig, wenn sich das System nicht mehr auf einen sicheren Stand bringen lässt, etwa weil Theme oder Erweiterungen mit aktuellen PHP-Versionen nicht mehr laufen.

Mit diesen sechs Fragen können Sie selbst einschätzen, wo Ihre Website steht:

1. Wissen Sie, welche PHP-Version Ihre Website nutzt? Die Angabe finden Sie meist im Kundenbereich Ihres Hosters.
2. Werden Sicherheitsmeldungen zu Ihrem Redaktionssystem, Plugins und Theme geprüft und notwendige Updates zeitnah eingespielt?
3. Gibt es eine Person oder einen Dienstleister, der für Updates zuständig ist und das auch weiß?
4. Gibt es aktuelle Sicherungen, und wurde schon einmal ausprobiert, ob sie sich zurückspielen lassen?
5. Sind die Zugänge zum Redaktionssystem mit einem zweiten Faktor geschützt, und sind alte Konten von ehemaligen Mitarbeitenden gelöscht?
6. Wissen Sie, welche weiteren Systeme unter Ihrer Domain erreichbar sind, etwa Formulare, Testseiten oder alte Subdomains?

Wenn Sie eine dieser Fragen mit Nein oder „Weiß ich nicht“ beantworten, lohnt ein genauerer Blick.

Was Sie jetzt tun können

1. Bestand aufnehmen. Welche Websites, Subdomains, Formulare und Werkzeuge sind online, auf welchem System und welcher PHP-Version laufen sie, und wer hat Zugang?
2. Auf einen unterstützten Stand bringen. PHP auf eine Version mit Sicherheitsupdates heben, Redaktionssystem, Plugins und Theme aktualisieren, nicht genutzte Erweiterungen und Testinstallationen entfernen.
3. Zugänge absichern. Zwei-Faktor-Anmeldung für alle Konten mit Schreibrechten, alte Konten löschen, starke Passwörter.
4. Sicherungen prüfen. Regelmäßig sichern, getrennt vom Server aufbewahren und das Zurückspielen testen.
5. Zuständigkeit regeln. Updates dürfen nicht davon abhängen, dass jemand daran denkt. Legen Sie fest, wer sie einspielt, wie oft und wer bei einer Warnung wie PHP2Shell sofort reagiert.

Lässt sich das System nicht mehr sicher aktualisieren, ist ein Neubau in der Regel der sauberere Weg als weitere Notlösungen. Je nach Anforderung kommt dabei auch eine statische Website ohne PHP und Datenbank infrage. Sie bietet deutlich weniger Angriffsfläche, wenn Inhalte nicht täglich von vielen Personen gepflegt werden.

Wie wir unterstützen

Im kostenlosen Erstgespräch klären wir den bekannten Stand Ihrer Website und ob eine genauere technische Prüfung nötig ist. Eine belastbare Empfehlung zu Aktualisierung oder Neubau setzt voraus, dass wir das System geprüft haben. Mit der Website-Betreuung übernehmen wir zu einer festen Monatspauschale Hosting und Überwachung, je nach Paket auch Updates und Sicherungen. Ist ein Neubau nötig, erhalten Sie ein Angebot für Ihre neue Website.

Quellen

Fachlich überarbeitet und Quellen geprüft am 09.11.2026.

• PHP-Sicherheitsupdate: PHP 8.3.36 Release Announcement
• PHP2Shell, Voraussetzungen und Gegenmaßnahmen: Red Hat, RHSB-2026-013
• Supportzeiträume der PHP-Versionen: php.net, Supported Versions
• Zeit bis zur Ausnutzung: Mandiant/Google, How Low Can You Go? (15.10.2024)
• KI-Agent nutzt bekannte Lücken aus: Fang, Bindu, Gupta, Kang: LLM Agents can Autonomously Exploit One-day Vulnerabilities (2024)
• KI-gesteuerte Angriffskampagne: Anthropic, Disrupting the first reported AI-orchestrated cyber espionage campaign (13.11.2025)
• Meldepflicht bei Datenschutzverletzungen: Art. 33 DSGVO, Gesetzestext beim Bundesfinanzministerium