---
title: "PHP2Shell? Nicht mehr unser Problem: Warum fuseki.com jetzt ohne PHP läuft"
description: "fuseki.com läuft nicht mehr auf WordPress und PHP, sondern als statische Website. Was das für Sicherheit, Tempo und Barrierefreiheit bedeutet."
url: https://fuseki.com/news/php2shell-fuseki-com-ohne-php/
date: 2026-10-28
---

# PHP2Shell? Nicht mehr unser Problem: Warum fuseki.com jetzt ohne PHP läuft

28\. Oktober 2026

Am 21. Oktober 2026 hat das PHP-Projekt Sicherheitsupdates für zwei kritische Lücken veröffentlicht, die unter dem Namen „PHP2Shell“ bekannt geworden sind (CVE-2026-109618 und CVE-2026-109619). Über sie können Angreifer ohne Anmeldung eigenen Programmcode auf einem Webserver ausführen. Die Lücken werden bereits aktiv ausgenutzt; die US-Cybersicherheitsbehörde CISA [ruft zum sofortigen Patchen auf](https://www.cisa.gov/news-events/alerts/2026/10/21/critical-vulnerabilities-php-require-immediate-patching). Betroffen sind potenziell Millionen Websites – denn PHP ist die Grundlage vieler verbreiteter Systeme, auch von WordPress.

Unsere eigene Website ist davon nicht mehr betroffen: Wir haben fuseki.com von WordPress auf eine **statische Website** umgestellt. Auf unserem Webserver läuft kein PHP mehr – und damit auch nichts, was PHP2Shell angreifen könnte.

## Was „statisch“ bedeutet

Eine WordPress-Seite wird bei jedem Aufruf neu zusammengesetzt: Ein PHP-Programm liest Inhalte aus einer Datenbank, verarbeitet Plugins und erzeugt daraus die Seite. Jede dieser Komponenten muss laufend aktualisiert werden – und jede ist eine mögliche Angriffsfläche.

Unsere neue Website wird dagegen einmal vorab erzeugt. Ausgeliefert werden fertige Dateien über das weltweite Netz von Cloudflare. Es gibt keine Datenbank, keine Plugins und keinen Login-Bereich, der von außen erreichbar wäre. Einziger aktiver Teil ist das Kontaktformular: Es läuft als kleine, eigenständige Funktion, die nur Anfragen über das Formular entgegennimmt, sie prüft und als E-Mail an uns weiterleitet.

## Die Vorteile

**Sicherheit.** Weniger Software auf dem Server heißt weniger Angriffsfläche. Lücken wie PHP2Shell, aber auch unsichere Plugins oder Angriffe auf das Admin-Passwort laufen bei einer statischen Website ins Leere. Zusätzlich legt die Seite über Sicherheitsrichtlinien fest, welche Inhalte der Browser überhaupt laden darf, und das Kontaktformular ist durch einen Spam-Schutz abgesichert.

**Geschwindigkeit.** Fertige Dateien sind schnell ausgeliefert. Bilder kommen im modernen Format AVIF und in passender Größe für das jeweilige Gerät, Schriften liegen auf unserem eigenen Server. Auf dem Smartphone überträgt die neue Website beim ersten Aufruf rund drei Viertel weniger Daten als die bisherige: Die Startseite kommt mit etwa 325 statt 1.300 KB aus, die Kontaktseite mit 155 statt rund 670 KB.

**Barrierefreiheit.** Wir haben die Website so gebaut, dass sie sich auch per Tastatur und mit Screenreader gut bedienen lässt: mit ausreichenden Farbkontrasten, sichtbarer Markierung des gerade ausgewählten Elements, Beschreibungen für Bilder und Videos und Rücksicht auf die Systemeinstellung „Bewegung reduzieren“. Dabei orientieren wir uns an den internationalen Richtlinien für barrierefreie Webinhalte (WCAG 2.2).

**Datenschutz.** Das bisherige Marketing-Tracking haben wir entfernt. YouTube-Videos werden erst geladen, wenn Sie sie selbst starten.

**Weniger Wartung.** Sicherheitsupdates für WordPress, PHP und Plugins entfallen. Inhalte pflegen wir als einfache Textdateien; jede Änderung ist nachvollziehbar versioniert und wird beim Erzeugen der Website automatisch auf Fehler geprüft.

## Sicherheit mit System: so wenige Angriffsvektoren wie möglich

Die Umstellung unserer Website ist kein Einzelfall, sondern folgt einem Grundsatz, der unsere gesamte Infrastruktur prägt: Wir bieten Angreifern so wenige Angriffsvektoren wie möglich. Jeder Dienst, jede offene Schnittstelle und jede Softwarekomponente, die nicht zwingend gebraucht wird, ist ein Risiko – also verzichten wir darauf. Was nicht läuft, kann nicht angegriffen werden. Und was laufen muss, kapseln wir so, dass es genau eine Aufgabe erfüllt – wie das Kontaktformular unserer Website.

Dass Informationssicherheit bei uns System hat, ist auch offiziell bestätigt: fuseki ist [nach ISO 27001 zertifiziert](https://fuseki.com/news/fuseki-ist-nach-iso-27001-zertifiziert/), der international anerkannten Norm für Informationssicherheits-Managementsysteme. Risiken erfassen und bewerten wir systematisch, Maßnahmen werden regelmäßig überprüft und von externen Auditoren kontrolliert.

Diesen Anspruch bringen wir auch in die Projekte unserer Kunden ein: Ob Datenplattform, KI-Anwendung oder Website – wir planen Systeme von Anfang an so, dass ihre Angriffsfläche möglichst klein bleibt.

## Was wir Betreibern von PHP-Websites raten

Wer eine Website oder Anwendung auf Basis von PHP betreibt, sollte jetzt auf eine der korrigierten Versionen aktualisieren (PHP 8.5.12, 8.4.27, 8.3.36 oder 8.2.35). Laut den Sicherheitsforschern von Datadog schützen die im Netz kursierenden Konfigurations-Workarounds nicht zuverlässig – nur das Update behebt die Lücken.

Mittelfristig lohnt sich die Frage, ob eine Website überhaupt bei jedem Aufruf Programmcode ausführen muss. Für viele Unternehmensseiten lautet die Antwort: nein.

Sie möchten Ihre Website oder Webanwendung sicherer und schneller machen – mit einem nach ISO 27001 zertifizierten Partner? [Sprechen Sie uns an.](https://fuseki.com/kontakt/)