Kampagnen & Sicherheit

PHP2Shell Lösung für Landingpages: Website, Pixel und Werbebudget schützen

Von Marvin de Vries · 22. Oktober 2026 · Lesezeit ca. 8 Minuten

Ihre Facebook- und Instagram-Anzeigen sind nur so gut wie die Seite, auf die sie führen. Genau dort sitzt derzeit ein ernstes Risiko: Zwei kritische Lücken in PHP, zusammen „PHP2Shell“ genannt, betreffen nahezu jede WordPress-Landingpage. Wird die Seite übernommen, bezahlen Sie Klicks für Besucher, die auf Schadsoftware oder gefälschten Formularen landen. Hier lesen Sie, wie Sie Landingpage, Tracking und Leads absichern und was mit laufenden Kampagnen passieren sollte.

Was ist PHP2Shell?

PHP ist die Programmiersprache, mit der WordPress, Elementor und die meisten Landingpage-Baukästen auf dem Server laufen. Am 20. Oktober 2026 kündigte das PHP-Projekt Sicherheitsupdates für zwei kritische Lücken an, am 21. Oktober erschienen sie. Über die Lücken können Angreifer aus dem Internet und ohne Passwort eigenen Code auf dem Server ausführen, also die Website vollständig übernehmen.

Die EU-Cybersicherheitsstelle CERT-EU rät, betroffene Websites sofort zu aktualisieren und andernfalls vom Netz zu nehmen. Erste Beispiel-Angriffe kursieren, Cloudflare berichtete von ersten Attacken. Mehrere öffentliche Einrichtungen wie die Stadt Mainz und die Charité haben ihre Websites vorsorglich abgeschaltet.

Warum sind Landingpages hinter Facebook- und Instagram-Anzeigen besonders gefährdet?

• Sie bezahlen den Traffic: Jeder Klick auf eine kompromittierte Seite kostet Budget und bringt keinen Lead, schlimmstenfalls einen geschädigten Interessenten.
• Formulare sind ein Ziel: Wer den Server kontrolliert, kann Anfragen mit Namen, Telefonnummern und E-Mail-Adressen mitlesen oder umleiten.
• Tracking-Zugänge liegen auf dem Server: Für die Conversions API speichern Plugins einen Zugangsschlüssel zu Ihrem Pixel. Gelangt er in fremde Hände, können gefälschte Ereignisse Ihre Kampagnenoptimierung verfälschen.
• Anzeigenkonto in Gefahr: Meta prüft Zielseiten. Leitet eine gehackte Seite auf Spam oder Schadsoftware weiter, riskieren Sie abgelehnte Anzeigen oder Einschränkungen Ihres Werbekontos.
• Vergessene Seiten: Kampagnen-Landingpages von früheren Aktionen laufen oft noch auf alten Servern weiter, ohne dass sich jemand darum kümmert.

PHP2Shell Lösung: In 6 Schritten zur sicheren Landingpage

Schritt 1: Alle Zielseiten auflisten

Öffnen Sie den Werbeanzeigenmanager und notieren Sie alle Ziel-URLs aktiver und kürzlich beendeter Anzeigen. Ergänzen Sie ältere Kampagnenseiten, Microsites und Gewinnspielseiten, die noch erreichbar sind.

Schritt 2: PHP-Version jeder Seite prüfen

Bei WordPress finden Sie die Version unter Werkzeuge → Website-Zustand → Bericht → Server → PHP-Version.

Zeigt WordPress eine niedrigere Nummer an, kann der Hoster den Fix trotzdem eingespielt haben, ohne die Version zu ändern. Das klärt Schritt 3.

Schritt 3: Update beim Hoster bestätigen lassen

Schreiben Sie Ihrem Hoster oder Ihrer Agentur: „Bitte bestätigen Sie, dass für [Domain] die Patches für CVE-2026-109618 und CVE-2026-109619 eingespielt und alle PHP-Dienste neu gestartet wurden.“ Bei eigenen Servern muss Ihr Admin PHP aktualisieren und PHP-FPM bzw. den Webserver neu starten.

Schritt 4: Ungepatchte Seiten vom Netz nehmen

Kann eine Seite nicht zeitnah aktualisiert werden, folgen Sie der Empfehlung von CERT-EU und nehmen Sie sie vorübergehend offline, am besten über eine statische Wartungsseite, die der Hoster ohne PHP ausliefert. Ein Wartungsmodus-Plugin in WordPress reicht nicht, weil PHP dabei weiterhin jede Anfrage verarbeitet.

Schritt 5: Landingpage auf Veränderungen prüfen

• Seite in einem privaten Browserfenster und auf dem Smartphone aufrufen, auch über einen Anzeigen-Link: Gibt es fremde Weiterleitungen oder Pop-ups?
• Formular testweise absenden: Kommt die Anfrage dort an, wo sie hin soll?
• In WordPress unbekannte Administratoren und Plugins suchen.
• Einen Sicherheits-Scan, etwa mit Wordfence, durchführen.

Schritt 6: Kampagnen wieder hochfahren

Erst wenn PHP gepatcht und die Seite geprüft ist, Anzeigen wieder aktivieren. Kontrollieren Sie in den ersten Tagen Absprungrate, Lead-Qualität und Ereignisse im Events Manager besonders genau.

Was sollte mit laufenden Kampagnen passieren?

Lead Ads sind eine gute Brücke: Das Formular läuft direkt auf Facebook bzw. Instagram, Ihre eigene Website ist nicht beteiligt. Achten Sie darauf, dass die Leads auch dann sicher bei Ihnen ankommen, etwa per direkter CRM-Anbindung statt über die betroffene Website.

Wie prüfe ich Pixel, Conversions API und Leads nach dem Update?

• Events Manager: Gibt es ungewöhnliche Ereignisse, etwa viele Käufe oder Leads ohne passende echte Anfragen?
• Conversions-API-Zugangsschlüssel: Bei Verdacht auf Kompromittierung im Events Manager einen neuen Schlüssel erzeugen, im Plugin hinterlegen und den alten ungültig machen.
• Pixel-Code: Prüfen, ob auf der Seite fremde Tracking- oder Skript-Codes eingebaut wurden.
• Leads abgleichen: Anfragen der letzten Tage mit CRM und Postfach vergleichen. Fehlen Leads, könnte das Formular umgeleitet worden sein.
• Zugänge: Passwörter für WordPress, Hosting und Business-Manager-Konten mit Zugriff auf die Seite erneuern, Zwei-Faktor-Anmeldung aktivieren.

Gibt es Hinweise, dass Kontaktdaten aus Formularen abgeflossen sind, prüfen Sie die Meldepflichten nach DSGVO, idealerweise mit Ihrem Datenschutzbeauftragten.

Fazit: Erst die Seite sichern, dann Budget ausgeben

Die PHP2Shell-Lösung ist ein PHP-Update, das in den meisten Fällen der Hoster übernimmt. Für Werbetreibende kommt eine zweite Aufgabe hinzu: Kampagnen so steuern, dass kein Budget auf ungesicherte Seiten fließt, und Tracking und Leads nach dem Update kontrollieren. Wer das heute erledigt, schützt Kunden, Daten und Werbekonto.

Die Meta Agentur plant und betreut Facebook- und Instagram-Kampagnen samt Landingpages und Tracking. Wenn Sie unsicher sind, ob Ihre Zielseiten betroffen sind, oder Ihre Kampagnen vorübergehend auf Lead Ads umstellen möchten, sprechen Sie uns an.