Aktualisiert am 22. Oktober 2026
Das Wichtigste in Kürze
Am 21. Oktober 2026 hat das PHP-Team zwei kritische Sicherheitslücken geschlossen. Angreifer können darüber ohne Anmeldung eigenen Code auf dem Server ausführen. Betroffen ist PHP selbst, nicht WordPress.
- Sicher sind: PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35 oder neuer.
- Kein Fix gibt es für: PHP 8.1 und älter.
- Prüfen kannst du es in 2 Minuten: WordPress › Werkzeuge › Website-Zustand › Bericht › Server.
- Ein WordPress-Update hilft nicht. Die PHP-Version auf dem Server muss aktuell sein.
Die gute Nachricht
Bei den Hostern meiner Kundinnen und Kunden habe ich erlebt, dass sie schnell reagiert und PHP auf ihren Servern gepatcht haben, also die Lücken geschlossen. In dieser Zeit waren manche Kundenbereiche zeitweise nur eingeschränkt erreichbar, oder PHP-Umstellungen liefen nicht sofort durch. Wenn dir das passiert ist: Versuch es später noch einmal. Ob der Patch bei dir angekommen ist, siehst du an der Versionsnummer, siehe Was bedeutet deine Versionsnummer? ↓
Was ist passiert?
Das PHP-Team hat zwei Lücken mit den Kennungen CVE-2026-109618 und CVE-2026-109619 geschlossen. Beide sind mit 9,2 von 10 Punkten als kritisch eingestuft. In Fachblogs heißen sie auch „PHP2Shell“, das ist aber kein offizieller Name.
Das Gefährliche: Ein Angreifer braucht kein Passwort und kein Benutzerkonto. Laut dem EU-Sicherheitsteam CERT-EU kursieren bereits erste Beispiel-Angriffe im Netz. Das PHP-Team selbst sagt, dass es keinen vollständigen Schutz außer dem Update gibt.
PHP ist die Programmiersprache, auf der WordPress läuft. Sie wird von deinem Hoster bereitgestellt, nicht von WordPress. Deshalb ändert ein WordPress- oder Plugin-Update an dieser Lücke nichts. Wenn du mehr über PHP wissen möchtest, schau in meinen Artikel PHP-Version einstellen via .htaccess.
Welche PHP-Versionen sind sicher?
Entscheidend ist die komplette Versionsnummer mit drei Teilen, also z. B. 8.3.36 und nicht nur 8.3.
| Versionszweig | Sicher ab | Sicherheitsupdates bis | Meine Einschätzung |
|---|---|---|---|
| PHP 8.5 | 8.5.12 | 31.12.2029 | Neueste Version, gut, wenn alle Plugins mitspielen |
| PHP 8.4 | 8.4.27 | 31.12.2028 | Meine Empfehlung für die meisten Websites |
| PHP 8.3 | 8.3.36 | 31.12.2027 | In Ordnung, Wechsel im nächsten Jahr einplanen |
| PHP 8.2 | 8.2.35 | 31.12.2026 | Läuft in wenigen Wochen aus, jetzt wechseln |
| PHP 8.1 und älter | kein Fix | abgelaufen | Unsicher, sofort wechseln |
Quelle für die Laufzeiten: php.net – Supported Versions ↑. Danach bieten manche Hoster einen kostenpflichtigen „Extended Support“ an, dazu mehr in meinem Artikel zur PHP-Version →
So findest du deine PHP-Version in WordPress
Du brauchst dafür nur deinen WordPress-Login und etwa zwei Minuten.
- Melde dich im WordPress-Backend an.
- Gehe links im Menü auf Werkzeuge › Website-Zustand.
- Wechsle oben zum Reiter Bericht.
- Klappe den Abschnitt Server auf.
- Lies die Zeile PHP-Version ab, z. B. „8.3.36 (Unterstützt 64-Bit-Werte)“.
- Vergleiche die Nummer mit der Tabelle oben.
Ohne WordPress-Zugang? Du kannst die Version auch mit einer kleinen info.php-Datei auslesen. Wie das geht, steht in meinem Artikel unter PHP-Version mit eigener Datei ermitteln →. Wichtig: Lösche die Datei danach sofort wieder. Sie verrät Angreifern viele Details über deinen Server.
Was bedeutet deine Versionsnummer?
Es gibt drei mögliche Ergebnisse, und nur in einem davon musst du selbst umstellen.
Fall 1: Deine Nummer ist gleich oder höher als in der Tabelle, z. B. 8.4.27 oder 8.3.36. Alles gut, dein Hoster hat den Patch schon eingespielt.
Fall 2: Der Versionszweig passt, die letzte Zahl ist aber kleiner, z. B. 8.3.35. Den Patch spielt dein Hoster ein, nicht du. Ein Umschalten auf 8.4 im Hoster-Menü hilft nicht sicher, denn auch dort kann noch die alte Patch-Version laufen. Schau morgen noch einmal nach oder frag beim Support nach, wann der Patch kommt. Ausnahme: Bei PHP 8.2 lohnt sich der Wechsel auf 8.4 trotzdem, weil 8.2 Ende Dezember ausläuft.
Fall 3: Du hast PHP 8.1 oder älter. Diese Versionen bekommen keinen Fix mehr. Hier musst du auf eine neuere Version umstellen, am besten auf 8.4. Wie das geht, liest du im nächsten Abschnitt.
Sonderfall: Im Hoster-Menü steht eine neue Version, WordPress zeigt aber eine alte an. Dann legt oft eine alte Zeile in der .htaccess-Datei die PHP-Version fest, z. B. AddHandler oder AddType. Das kommt besonders bei Strato vor. Wie du die Zeile findest und anpasst, erkläre ich im Artikel PHP-Version einstellen via .htaccess →.
So stellst du die PHP-Version sicher um
Mit einem Backup und einem kurzen Test danach ist die Umstellung bei den meisten Websites schnell erledigt.
- Backup machen. Sichere Dateien und Datenbank, z. B. mit UpdraftPlus. Lege die Sicherung nicht nur auf dem Server ab. Wie du im Notfall zurückspielst, steht in meiner UpdraftPlus-Checkliste →.Viele Hoster sichern deine Website zusätzlich automatisch. Bei Strato findest du diese Backups zum Beispiel im Kundenbereich unter Sicherheit › STRATO BackupControl. Je nach Tarif kannst du dort auf tägliche Sicherungen der letzten 14 Tage oder auf tägliche und wöchentliche Sicherungen der letzten Wochen zurückgreifen. Bei anderen Hostern frag am besten beim Support nach, ob und wie lange gesichert wird. Manche Hoster spielen ein Backup nur gegen Gebühr für dich ein. Prüf das am besten jetzt, nicht erst im Notfall.
- WordPress, Theme und Plugins aktualisieren. Aktuelle Plugins vertragen neue PHP-Versionen fast immer. Alte, nicht mehr gepflegte Plugins sind die häufigste Fehlerquelle.
- Beim Hoster umstellen. Die PHP-Einstellung findest du im Kundenbereich bei deiner Domain bzw. deinem Webspace. Die Wege für Strato, IONOS, All-Inkl, Alfahosting und Mittwald habe ich hier beschrieben →. Findest du nichts, frag den Support deines Hosters.
- Website testen. Klicke Startseite und wichtige Unterseiten durch, schick dir eine Testnachricht über das Kontaktformular und melde dich einmal im Backend an. Betreibst du einen WooCommerce-Shop, mach eine Testbestellung.
- Version noch einmal prüfen. Schau unter Website-Zustand nach, ob die neue Version wirklich ankommt.
Wenn etwas nicht funktioniert: Stell kurz auf die vorherige Version zurück, damit deine Seite wieder läuft. Bedenke aber: Damit ist sie wieder angreifbar. Lass den Fehler deshalb möglichst schnell beheben, bei mir oder bei deinem Dienstleister.
Häufige Fragen
Reicht es, WordPress zu aktualisieren?
Nein. Die Lücke steckt in PHP auf dem Server. WordPress-Updates bleiben trotzdem wichtig, schließen diese Lücke aber nicht.
Schützt mich ein Sicherheits-Plugin wie Wordfence?
Nicht zuverlässig. Solche Plugins laufen selbst auf PHP. Das PHP-Team sagt ausdrücklich, dass nur das Update vollständig schützt.
Muss ich selbst aktiv werden, wenn mein Hoster automatisch aktualisiert?
Wenn du PHP 8.2 bis 8.5 nutzt, spielt dein Hoster den Patch in der Regel selbst ein. Prüfe trotzdem kurz die Versionsnummer. Bei PHP 8.1 und älter musst du selbst umstellen.
Welche Version soll ich wählen?
Ich empfehle PHP 8.4. Sie ist bis Ende 2028 abgesichert und wird von aktuellen Plugins gut unterstützt. PHP 8.5 ist neuer, manche ältere Plugins kommen damit aber noch nicht klar.
Was ist, wenn meine Website mit neuem PHP nicht mehr läuft?
Dann ist meist ein veraltetes Plugin oder Theme schuld. Stell kurzfristig zurück und lass die Ursache beheben. Dauerhaft auf einer alten Version zu bleiben, ist keine Lösung.
Du hast einen Wartungsvertrag bei mir?
Dann musst du nichts tun. Ich prüfe gerade alle betreuten Websites und melde mich bei dir, falls es Handlungsbedarf gibt.
Du hast keinen Wartungsvertrag, möchtest das Update aber nicht selbst machen? Schreib mir einfach, dann kümmere ich mich darum.