PHP2Shell: Was eine gehackte Website bei Google kostet und wie Sie den Schaden in der Search Console erkennen

Seit dem 21. Oktober 2026 gibt es für die kritischen PHP-Lücken CVE-2026-109618 und CVE-2026-109619, bekannt als „PHP2Shell“, korrigierte PHP-Versionen: 8.5.12, 8.4.27, 8.3.36 und 8.2.35. Das Bundesamt für Sicherheit in der Informationstechnik warnt, dass Angreifer darüber ohne Anmeldung eigenen Code auf Webservern ausführen können. Was in den Meldungen selten steht: Eine angegriffene Website verliert ihre Sichtbarkeit bei Google oft schneller, als der Betreiber den Einbruch bemerkt. Dieser Beitrag ordnet ein, was ein Hack für Rankings und Warnhinweise bedeutet und woran Sie ihn in der Google Search Console erkennen.

Was passiert ist

Die Fehler liegen im PHP-Interpreter selbst, also in der Software, die auf dem Server WordPress, Joomla, TYPO3 und Shopware ausführt. Das PHP-Projekt hat die Korrekturen am 21. Oktober außerplanmäßig veröffentlicht, nachdem Einzelheiten am Vortag vorzeitig bekannt geworden waren. Das BSI stuft die Lücken in seiner Cybersicherheitswarnung als kritisch ein und nennt zum Zeitpunkt der Warnung keine bestätigten Angriffe, verweist aber auf unbestätigte Berichte über existierende Exploits. Ein Update von WordPress, Plugins oder Theme hilft nicht; nur der Hoster oder der Serveradministrator kann die PHP-Version tauschen. Wie Sie die Versionsnummer ablesen und beim Hoster nachfassen, haben wir auf konrad-griesser.de Schritt für Schritt beschrieben. Hier geht es um die Folgen für die Suche.

Was ein Hack für Ihre Sichtbarkeit bedeutet

Wer eine Website über eine solche Lücke übernimmt, will sie selten zerstören. Sie soll weiterlaufen und unbemerkt für fremde Zwecke arbeiten. Google beschreibt in seiner Dokumentation zum Bericht „Sicherheitsprobleme“ drei Kategorien, die genau dieses Muster abbilden: gehackte Inhalte, die ohne Erlaubnis des Betreibers eingeschleust werden, Malware oder unerwünschte Software, die Besuchern schadet, und Social Engineering, das Besucher zu gefährlichen Handlungen verleitet.

Für die Suche heißt das konkret:

• Eingeschleuste Unterseiten mit fremden Themen, etwa Medikamente, Glücksspiel oder Markenfälschungen, erscheinen unter Ihrer Domain im Index. Google versucht nach eigener Darstellung, solche Inhalte aus den Ergebnissen auszuschließen.
• Stuft Google Safe Browsing die Seite als gefährlich ein, zeigt Chrome vor dem Aufruf eine rote Warnseite. In den Suchergebnissen kann ein Hinweis erscheinen, dass die Website gehackt wurde oder dem Computer schaden könnte. Beides kostet Klicks, auch wenn die Position bleibt.
• Bei Weiterleitungen auf fremde Seiten, einem häufigen Ziel von Angreifern, sehen Googles Crawler eine andere Seite als Ihre Besucher. Rankings für Ihre eigentlichen Begriffe brechen dann weg, weil der Inhalt aus Googles Sicht nicht mehr existiert.
• KI-Systeme wie Google AI Overviews oder ChatGPT zitieren nur Seiten, die sie für vertrauenswürdig halten. Eine Domain mit Sicherheitswarnung fällt aus dieser Auswahl heraus.

Woran Sie den Schaden in der Search Console erkennen

Die Google Search Console ist das erste Werkzeug, um einen Hack aus Googles Sicht zu sehen. Vier Stellen sind entscheidend:

1. Bericht „Sicherheitsprobleme“ im Menü unter „Sicherheit und manuelle Maßnahmen“. Erkennt Google gehackte Inhalte oder Malware, stehen dort die Kategorie, Beispiel-URLs und Hinweise zur Behebung. Ist der Bericht leer, heißt das nur, dass Google nichts gefunden hat, nicht, dass die Seite sauber ist.
2. Bericht „Seiten“ unter Indexierung. Ein plötzlicher Anstieg indexierter Seiten, die Sie nicht angelegt haben, oder neue URLs mit fremdsprachigen Pfaden deuten auf eingeschleuste Inhalte hin.
3. Leistungsbericht mit Filter auf Suchanfragen. Tauchen Begriffe auf, die nichts mit Ihrem Geschäft zu tun haben, rankt Ihre Domain bereits für fremde Inhalte.
4. URL-Prüfung für Ihre wichtigsten Seiten. Der Abgleich zwischen Googles gerendertem HTML und dem, was Sie im Browser sehen, deckt Weiterleitungen und Inhalte auf, die nur Crawler sehen.

Lassen Sie die E-Mail-Benachrichtigungen der Search Console aktiv. Google meldet neue Sicherheitsprobleme an alle bestätigten Inhaber; wer sich nie anmeldet, erfährt es sonst erst von Kunden. Wie Sie die Search Console in kurzer Zeit sinnvoll durchgehen, steht in unserem Beitrag Google Search Console in 30 Minuten.

Was jetzt zu tun ist, und in welcher Reihenfolge

Zuerst die Ursache schließen, dann aufräumen, dann Google informieren. Die Reihenfolge zählt, weil Google eine Überprüfung ablehnt, solange das Problem besteht. Prüfen Sie also die PHP-Version Ihres Hostings und lassen Sie sich die korrigierte Version bestätigen. Danach gleichen Sie die Dateien mit einem sauberen Backup ab oder lassen das jemanden tun, der Code lesen kann; Google weist selbst darauf hin, dass die Bereinigung technisches Verständnis voraussetzt. Erst wenn alle eingeschleusten Dateien, Benutzer und Weiterleitungen entfernt sind, beantragen Sie im Bericht „Sicherheitsprobleme“ die Überprüfung und beschreiben kurz, was Sie behoben haben.

Wer nicht betroffen ist, sollte den Anlass trotzdem nutzen: PHP-Version prüfen, Search Console-Zugang und Benachrichtigungen kontrollieren, ein aktuelles Backup außerhalb des Webservers sichern. Diese Punkte gehören zur technischen Grundlage jeder SEO-Arbeit; die beste Inhaltsstrategie nützt nichts, wenn Google die Domain als gefährlich markiert.

Quellen

• BSI: PHP – Kritische Schwachstellen bedrohen Webanwendungen weltweit
• PHP-Projekt: PHP 8.3.36 Released, Security advisory
• Google Search Console-Hilfe: Bericht „Sicherheitsprobleme“

Kurz beantwortet

Verliert eine gehackte Website automatisch ihre Rankings?

Nicht sofort, aber in der Regel schnell. Eingeschleuste Inhalte, Weiterleitungen und Safe-Browsing-Warnungen führen zu weniger Klicks und zu einer kritischeren Bewertung der gesamten Domain. Je länger der Hack unbemerkt bleibt, desto länger dauert die Erholung.

Wo sehe ich in der Search Console, ob Google meine Seite als gehackt einstuft?

Im Bericht „Sicherheitsprobleme“ unter „Sicherheit und manuelle Maßnahmen“. Dort stehen Kategorie, Beispiel-URLs und der Button, mit dem Sie nach der Bereinigung eine Überprüfung beantragen.

Hilft ein WordPress-Update gegen PHP2Shell?

Nein. Die Lücken liegen im PHP-Interpreter auf dem Server. Nur eine korrigierte PHP-Version schützt, und die stellt der Hoster oder Serveradministrator bereit.