Die kurze Antwort
Eine statische Website ist von PHP2Shell nicht betroffen, solange auf ihrem Server kein PHP läuft. Die beiden Lücken, die am 21. Oktober 2026 geschlossen wurden, CVE-2026-109618 und CVE-2026-109619, stecken in PHP selbst, also in dem Programm, das auf einem Webserver Anfragen entgegennimmt und daraus Seiten baut. Wo dieses Programm nicht läuft, gibt es für die Lücken nichts, woran sie ansetzen könnten.
Warum das so ist
Eine WordPress-Seite entsteht bei jedem Aufruf neu. Jemand ruft die Adresse auf, PHP startet, holt Texte aus der Datenbank, setzt die Seite zusammen und schickt sie zurück. Genau in diesem Ablauf, beim Verarbeiten der Anfrage, sitzen die Fehler. Eine statische Website ist dagegen schon fertig, bevor jemand kommt. Sie liegt als Dateien bereit, und der Server reicht diese Dateien nur weiter. Bei Diensten wie Cloudflare Pages läuft dabei kein PHP, das eine Anfrage auswerten würde.
Auf Reddit fragte am 21. Oktober jemand, ob seine statische Seite auf Cloudflare Pages betroffen sei. Die Antwort ist erfreulich langweilig.
Wo man trotzdem hinsehen sollte
Ganz ohne Prüfung geht es nicht, denn manche Websites sind nur zum Teil statisch. Drei Stellen lohnen einen Blick. Erstens Nebenstellen: ein altes Kontaktformular, das an ein PHP-Skript schickt, ein Blog unter einer Unteradresse oder ein Kundenbereich, der auf einem anderen Server läuft. Zweitens der eigene Rechner oder Server, auf dem die Seite gebaut wird, falls dort PHP für etwas anderes im Einsatz ist. Drittens alles, was eingebunden ist, aber nicht selbst betrieben wird, etwa ein Buchungssystem. Das liegt beim jeweiligen Anbieter, der sich selbst um das Update kümmern muss.
Und eine ehrliche Grenze gehört dazu: Nicht jede Website kann statisch sein. Ein großer Shop oder ein Portal, in dem viele Menschen gleichzeitig Daten eingeben, braucht ein Programm auf dem Server. Für eine Praxis, ein Büro, einen Handwerksbetrieb oder einen Verein, deren Website vor allem zeigt und informiert, ist statisch dagegen fast immer möglich.
Warum ich so baue
Mit Kenala baue ich Websites genau so: fertige Dateien, ausgeliefert über Cloudflare, ohne PHP, ohne Datenbank, ohne Plugins. Gebaut wird mit modernen Werkzeugen, auch mit KI, aber im Netz liegt nur das Ergebnis. Änderungen sagst Du in einem Satz, siehst sie vorher und gibst sie frei. Die Frage „Ist meine Seite betroffen?“ lässt sich dann in einem Satz beantworten, und das ist an einem Tag wie diesem ziemlich viel wert.
Mehr dazu auf der Seite Website ohne PHP, ohne Datenbank, ohne Plugins. Was PHP2Shell für eine WordPress-Seite heißt und wie Du sie in fünf Minuten prüfst, steht in der Serie auf roman-thomas.de. Wenn Du unsicher bist, schreib mir, per Mail oder wie es Dir am liebsten ist.
Quellen
PHP-Projekt, Security advisory vom 21. Oktober 2026 auf php.net. BSI, IT-Sicherheitshinweis BITS-H Nr. 2026-297981-1132, Version 1.1 vom 21. Oktober 2026.