Was ist passiert?
Am 21. Oktober 2026 hat das PHP-Team zwei kritische Sicherheitslücken geschlossen, bekannt unter dem Spitznamen php2shell (CVE-2026-109618 und CVE-2026-109619). Sie werden mit einem Schweregrad von 9,2 von 10 bewertet. Angreifer können darüber unter Umständen ohne Anmeldung Schadcode auf dem Server ausführen.
Die US-Cybersicherheitsbehörde CISA führt die Lücken seit dem 26. Oktober 2026 als aktiv ausgenutzt. Behoben sind sie in den PHP-Versionen 8.5.12, 8.4.27, 8.3.36 und 8.2.35.
Wer ist betroffen?
Betroffen ist PHP auf dem Server, nicht WordPress selbst und auch kein einzelnes Plugin. Das ist wichtig, denn die Lücke wird nicht durch ein WordPress-Update geschlossen, sondern dadurch, dass der Hoster PHP aktualisiert.
Viele gute Hoster haben das bereits automatisch erledigt. Kritisch sind vor allem Websites, die noch auf alten PHP-Versionen laufen. PHP 8.1 und ältere Versionen bekommen keine Sicherheitsupdates mehr. Läuft Ihre Website darauf, ist ein Wechsel ohnehin überfällig.
So prüfen Sie Ihre PHP-Version
- Melden Sie sich in WordPress an.
- Öffnen Sie unter „Werkzeuge“ den Punkt „Website-Zustand“ und dort den Reiter „Bericht“.
- Im Abschnitt „Server“ steht die PHP-Version.
- Vergleichen Sie sie mit den gesicherten Versionen oben. Alternativ sehen Sie die Version im Kundenbereich Ihres Hosters.
Was jetzt zu tun ist
- Version prüfen: Wie oben beschrieben.
- Hoster fragen: Ist die Version älter, fragen Sie Ihren Hoster, wann das Update kommt, oder stellen Sie im Kundenbereich auf eine aktuelle Version um.
- Vorher sichern: Vor einem Wechsel der PHP-Version sollten Sie eine vollständige Sicherung machen. Alte Plugins und Themes laufen nicht immer mit neuen PHP-Versionen.
- WordPress aktuell halten: Auch WordPress, Theme und Plugins sollten auf dem neuesten Stand sein.
- Auf Auffälligkeiten achten: Unbekannte Administratoren, fremde Seiten oder Weiterleitungen sind ein Warnsignal.
Wenn Sie sich nicht sicher sind oder nach einem PHP-Update etwas nicht mehr funktioniert, helfen wir Ihnen: Website-Hilfe und PHP-Fehler. Damit Sie sich in Zukunft nicht selbst darum kümmern müssen, gibt es unsere WordPress-Wartung ab 29 € netto im Monat.
Quellen
- BleepingComputer: PHP warnt vor zwei kritischen Lücken
- CISA: Critical Vulnerabilities in PHP Require Immediate Patching
- NCSC (UK): Critical security issue affecting PHP
- WP Cerber: Was WordPress-Betreiber wissen müssen
Häufige Fragen
Muss ich WordPress aktualisieren, um die Lücke zu schließen?
Nein. Die Lücke steckt in PHP auf dem Server. Geschlossen wird sie durch ein PHP-Update beim Hoster. WordPress aktuell zu halten ist trotzdem immer sinnvoll.
Woher weiß ich, ob meine Website angegriffen wurde?
Warnzeichen sind unbekannte Administratoren, fremde Seiten, Weiterleitungen auf andere Websites oder Warnungen von Google. Im Zweifel lassen Sie die Website prüfen.
Kann ein PHP-Update meine Website kaputt machen?
Bei sehr alten Plugins oder Themes kann das passieren. Deshalb vorher sichern und danach testen. Wir übernehmen das auf Wunsch für Sie.