IONOS PHP-Version prüfen und ändern: Stand zu PHP2Shell

Ist meine IONOS-Website von PHP2Shell betroffen?

Ihre IONOS-Website ist betroffen, solange ihr PHP älter ist als die gepatchte Version des jeweiligen Versionszweigs. PHP2Shell sind zwei kritische Lücken in PHP selbst, CVE-2026-109618 und CVE-2026-109619. Sie betreffen jede PHP-Website, auch WordPress und Joomla. Im IONOS-Webhosting (früher 1&1) installiert IONOS PHP, also auch den Patch. Diese Versionen enthalten den Fix:

Ihr eigenes Ergebnis ordnet der PHP2Shell-Checker ein.

Hat IONOS PHP2Shell schon gepatcht?

IONOS spielt das Update nach eigener Aussage ein, einen Abschluss haben wir bis 22. Oktober 2026 aber nicht gesehen. Auf der Statusseite ionos-status.de steht die Meldung „Sicherheitswartung: Kurze Unterbrechungen bei PHP-basierten Diensten möglich“ (Zeiten MESZ):

• 21. Oktober, 17:44 Uhr: IONOS installiert das Sicherheitsupdate „auf allen unseren Systemen“ und rechnet damit, innerhalb von 24 Stunden fertig zu sein. Websites und Dienste können zwischendurch langsam oder kurz nicht erreichbar sein.
• Betroffene Produkte laut Meldung: Web Hosting, Webhosting Windows, WordPress Hosting, WordPress Pro, das IONOS Control-Center, HiDrive sowie MyWebsite (in der Meldung: „ordered before 09/06/2017“) und MyWebsite NOW.
• Letztes Update, 21. Oktober, 22:59 Uhr: IONOS arbeite weiterhin daran, die betroffenen Funktionen wiederherzustellen. Als behoben war die Meldung bei unserem Abruf nicht markiert.

Eine zweite Meldung betraf Nextcloud: IONOS hatte Managed Nextcloud, Nextcloud Workspace und HiDrive Next am 21. Oktober um 14:26 Uhr vorsorglich deaktiviert und die Störung um 22:55 Uhr als gelöst gemeldet (IONOS-Status). Welche PHP-Builds IONOS ausrollt, sagt IONOS nicht.

Wie sehe ich die PHP-Version bei IONOS?

Die PHP-Version sehen Sie im IONOS Konto. Laut der IONOS-Hilfe PHP-Version anzeigen oder ändern:

1. Loggen Sie sich in Ihr IONOS Konto ein.
2. Klicken Sie in der Titelleiste auf Menü > Hosting und wählen Sie bei mehreren Verträgen den richtigen aus.
3. Klicken Sie in der Kachel PHP auf Verwalten.
4. Auf der Seite PHP-Einstellungen zeigt eine Tabelle, welche PHP-Version jeder Domain zugeordnet ist.

Jede Domain kann eine eigene Version haben, prüfen Sie also alle. Die genaue Versionsnummer meldet die Website selbst, in WordPress unter Werkzeuge → Website-Zustand → Bericht → Server. Siehe auch PHP-Version prüfen.

Wie wechsle ich bei IONOS auf eine gepatchte PHP-Version?

Das hängt vom Produkt ab:

• Webhosting: Klicken Sie auf der Seite PHP-Einstellungen auf die Domain, wählen Sie die PHP-Version und klicken Sie auf Speichern. Mehrere Domains stellen Sie um, indem Sie die Kontrollkästchen setzen und PHP-Version auswählen klicken. Die Umstellung kann einen Moment dauern. Wählen Sie eine aktuelle Version (8.2 bis 8.5); den gepatchten Build selbst installiert IONOS.
• Managed WordPress und MyWebsite: Die PHP-Version lässt sich laut IONOS-Hilfe nicht ändern, IONOS verwaltet sie. Hier bleibt nur, auf IONOS zu warten oder beim Support nachzufragen.
• VPS, Cloud- oder Bare-Metal-Server: Sie verwalten PHP selbst. IONOS fordert diese Kunden in der Statusmeldung auf, das Update sofort zu installieren. Anleitung: PHP unter Ubuntu aktualisieren.

IONOS empfiehlt, die Website gleich nach der Umstellung zu prüfen und bei Problemen zur vorherigen Version zurückzukehren.

Was gilt für WordPress bei IONOS, und was frage ich den Support?

WordPress erhält den PHP2Shell-Fix nur über PHP; ein Update von WordPress oder Plugins reicht nicht. Prüfen Sie nach Abschluss der IONOS-Wartung jede Website im Website-Zustand. Mehr dazu: PHP2Shell und WordPress.

Zeigt eine Website nach Ende der Wartung noch eine ältere Version, fragen Sie den IONOS-Support:

1. Welchen PHP-Build nutzt meine Domain genau?
2. Enthält er den Fix für CVE-2026-109618 und CVE-2026-109619?
3. Ist die Sicherheitswartung für meinen Vertrag abgeschlossen?
4. Gilt der Fix auch für meine Version im PHP Extended Support?

Eine fertige Vorlage steht im PHP2Shell-Patch-Leitfaden. IONOS weist auf seiner Statusseite selbst auf gefälschte E-Mails hin; melden Sie sich nur direkt im Konto an.

Was, wenn meine IONOS-Website alte PHP-Versionen nutzt?

Für alte Versionen bietet IONOS den kostenpflichtigen PHP Extended Support an, für PHP 5.6 bis 8.1 und bei älteren Verträgen auch für noch ältere Versionen. Laut IONOS schließen dabei die eigenen Sicherheitsexperten Lücken in diesen Versionen. Ob das den PHP2Shell-Fix einschließt, hat IONOS bis 22. Oktober 2026 nicht gesagt. PHP veröffentlicht für 7.4, 8.0 und 8.1 nur minimale Quellcode-Patches.

IONOS empfiehlt selbst eine aktuelle Version und nennt PHP 8.4 für WordPress, Joomla und Drupal; der Wechsel ist kostenlos. Testen Sie den Umstieg vorher: PHP-End-of-Life und PHP2Shell.