Zwei kritische Sicherheitslücken in PHP sorgen am 21. Oktober 2026 weltweit für Aufregung. Die Schwachstellen sollen teilweise bereits seit vielen Jahren bestehen und wurden erst jetzt mithilfe künstlicher Intelligenz entdeckt. Sogar Behörden haben ihre Webseiten vorsorglich abgeschaltet. Doch was bedeutet das für Betreiber eines WordPress-Blogs oder einer kleinen Webseite?
Wer eine WordPress-Webseite betreibt, kennt das Spiel: Regelmäßig erscheinen Updates für WordPress selbst, für Themes und Plugins. Man installiert sie, prüft, ob noch alles funktioniert, und geht davon aus, dass die Webseite damit einigermaßen sicher ist.
Doch das reicht nicht unbedingt aus. Denn das Problem liegt diesmal nicht direkt bei WordPress, sondern eine Ebene darunter: bei der Programmiersprache PHP.
Was ist passiert?
Am 21. Oktober 2026 wurden Sicherheitsupdates für zwei kritische Schwachstellen in PHP veröffentlicht. Die Sicherheitslücken tragen die Bezeichnungen CVE-2026-109618 und CVE-2026-109619 und sind unter dem Namen „PHP2Shell“ bekannt geworden.
Beide Schwachstellen wurden mit einem Schweregrad von 9,2 von 10 bewertet. Das ist eine ausgesprochen hohe Einstufung.
Unter bestimmten Voraussetzungen können Angreifer die Schwachstellen ausnutzen, um eigenen Programmcode auf einem betroffenen Server auszuführen. Besonders problematisch ist, dass dafür keine Anmeldung auf der Webseite erforderlich sein muss.
Im schlimmsten Fall könnten Angreifer dadurch die Kontrolle über Teile eines Servers übernehmen, sensible Daten auslesen oder Webseiten manipulieren.
Die Sicherheitswarnungen waren so ernst, dass verschiedene öffentliche Einrichtungen ihre Internetauftritte vorübergehend abschalteten, um Sicherheitsmaßnahmen durchzuführen.
Was ist PHP überhaupt?
PHP ist eine Programmiersprache, die auf dem Webserver ausgeführt wird. Sie sorgt beispielsweise dafür, dass WordPress Inhalte aus einer Datenbank abruft, Seiten zusammenstellt und verschiedene Funktionen verarbeitet.
Vereinfacht gesagt: WordPress ist das System, mit dem du deine Webseite verwaltest. PHP ist ein wesentlicher Teil der Technik, die dieses System im Hintergrund zum Laufen bringt.
Deshalb betrifft eine Sicherheitslücke in PHP nicht nur WordPress, sondern auch zahlreiche andere Webseiten und Anwendungen.
Ist meine WordPress-Webseite betroffen?
Die entscheidende Frage ist, welche PHP-Version auf deinem Server installiert ist und ob die erforderlichen Sicherheitskorrekturen bereits eingespielt wurden.
Die PHP-Entwickler haben am 21. Oktober folgende Sicherheitsupdates veröffentlicht:
| PHP-Version | Korrigierte Version |
|---|---|
| PHP 8.5 | 8.5.12 |
| PHP 8.4 | 8.4.27 |
| PHP 8.3 | 8.3.36 |
| PHP 8.2 | 8.2.35 |
Die Schwachstellen betreffen auch ältere PHP-Versionen. Laut den Sicherheitsforschern ist mindestens eine der Schwachstellen in PHP-Versionen vorhanden, die bis zu PHP 5.4 zurückreichen.
PHP 8.1 und ältere Versionen werden vom offiziellen PHP-Projekt nicht mehr regulär mit Sicherheitsupdates versorgt. Manche Hosting-Anbieter oder Linux-Distributionen stellen allerdings eigene Sicherheitskorrekturen bereit.
Wichtig ist deshalb nicht ausschließlich die angezeigte Versionsnummer, sondern der tatsächliche Patchstand.
Manche Anbieter übernehmen Sicherheitskorrekturen in ihre eigenen PHP-Pakete, ohne die Versionsnummer entsprechend zu ändern.
Im Zweifel sollte der Hosting-Anbieter bestätigen, ob die beiden aktuellen Schwachstellen behoben wurden.
So findest du deine PHP-Version in WordPress heraus
Du musst dafür weder programmieren können noch irgendwelche Dateien auf deinem Server bearbeiten.
- Melde dich im Administrationsbereich deiner WordPress-Webseite an.
- Öffne den Menüpunkt Werkzeuge → Website-Zustand.
- Wechsle auf den Reiter Bericht.
- Öffne den Abschnitt Server.
- Dort findest du den Eintrag PHP-Version.
Alternativ kannst du die verwendete PHP-Version häufig direkt im Kundenbereich deines Hosting-Anbieters einsehen.
Die angezeigte Version liefert dir einen ersten Anhaltspunkt. Ob sämtliche Sicherheitskorrekturen installiert wurden, lässt sich daraus allerdings nicht in jedem Fall zuverlässig erkennen.
Warum WordPress-Updates und Sicherheitsplugins nicht ausreichen
Normalerweise lassen sich viele Sicherheitsprobleme beheben, indem WordPress, Plugins oder Themes aktualisiert werden.
Bei den aktuellen Schwachstellen funktioniert das allerdings nicht.
Der Fehler befindet sich in PHP selbst. Ein Update des WordPress-Systems behebt diesen Fehler deshalb nicht.
Selbst eine vollständig aktualisierte WordPress-Installation kann gefährdet sein, wenn darunter eine verwundbare PHP-Version läuft.
Auch WordPress-Sicherheitsplugins können die eigentlichen Schwachstellen nicht beseitigen. Sie helfen beispielsweise dabei, verdächtige Anmeldeversuche zu erkennen, bestimmte Angriffe zu blockieren oder Veränderungen an Dateien zu überwachen.
Bei PHP2Shell können Angriffe unter bestimmten Bedingungen jedoch bereits stattfinden, bevor WordPress und seine Plugins überhaupt ausgeführt werden.
Zusätzliche Schutzmaßnahmen wie Web Application Firewalls können das Risiko reduzieren. Sie ersetzen aber keine Sicherheitsupdates.
Wer ist für das PHP-Update zuständig?
Das hängt davon ab, wie deine Webseite gehostet wird.
Bei vielen klassischen Webhosting-Angeboten übernimmt der Hosting-Anbieter die Wartung der Server und stellt aktuelle PHP-Versionen zur Verfügung.
Häufig kannst du im Kundenbereich selbst auswählen, welche PHP-Version deine Webseite verwenden soll.
Bei einem eigenen Server oder einem selbst verwalteten virtuellen Server liegt die Verantwortung dagegen in der Regel beim Betreiber beziehungsweise dessen Administrator.
Wer einen Managed-WordPress-Tarif nutzt, sollte prüfen, welche Sicherheitsmaßnahmen der Anbieter bereits umgesetzt hat.
Für Webseiten auf WordPress.com, WordPress VIP, WP Cloud und Pressable hat Automattic am 21. Oktober mitgeteilt, dass entsprechende Schutzmaßnahmen bereits umgesetzt wurden.
Warum wird um die Sicherheitslücke plötzlich so eine Hektik gemacht?
Die Schwachstellen sollen teilweise bereits seit rund zehn Jahren unentdeckt im PHP-Quellcode geschlummert haben. Warum also jetzt die ganze Aufregung? Schließlich waren sie gestern auch schon da. Und vorgestern. Und die Jahre davor.
Der entscheidende Unterschied ist, dass die Schwachstellen inzwischen öffentlich bekannt sind.
Entdeckt wurden sie von Sicherheitsforschern des Unternehmens Wiz, die dabei auch künstliche Intelligenz einsetzten.
Sobald ein Sicherheitsupdate veröffentlicht wird, können nicht nur Webseitenbetreiber ihre Systeme absichern. Auch Angreifer können sich ansehen, welche Änderungen vorgenommen wurden. Durch den Vergleich des alten mit dem neuen Programmcode lässt sich unter Umständen nachvollziehen, wo die Sicherheitslücke lag und wie sie ausgenutzt werden könnte.
Dieses Verfahren nennt sich Patch-Diffing und ist keineswegs neu. Durch den Einsatz künstlicher Intelligenz lässt sich eine solche Analyse allerdings erheblich beschleunigen.
Angreifer können dadurch möglicherweise innerhalb kurzer Zeit herausfinden, wie sich ungepatchte Systeme angreifen lassen.
Und genau darin liegt das Problem: Ein Sicherheitsupdate schließt die Lücke auf aktualisierten Systemen, kann aber gleichzeitig Hinweise liefern, die Angreifern bei der Entwicklung eines sogenannten Exploits helfen.
Das bedeutet natürlich nicht, dass Sicherheitsupdates gefährlich oder überflüssig wären. Ganz im Gegenteil! Sie sind der entscheidende Schutz.
Allerdings beginnt mit der Veröffentlichung eines Patches ein Wettlauf zwischen Webseitenbetreibern, Hosting-Anbietern und potenziellen Angreifern.
Die Sicherheitslücke mag zehn Jahre alt sein. Die Gefahr, dass sie nun gezielt und massenhaft ausgenutzt wird, kann trotzdem innerhalb weniger Stunden erheblich steigen.
Und genau deshalb heißt es jetzt: schnell sein.
Was sollte ich jetzt konkret tun?
Zunächst solltest du überprüfen, welche PHP-Version deine Webseite verwendet.
Anschließend empfiehlt sich folgendes Vorgehen:
- Hosting-Anbieter prüfen: Gibt es bereits eine Sicherheitsmeldung oder Informationen zu den aktuellen PHP-Updates?
- Patchstand kontrollieren: Ist eine der korrigierten PHP-Versionen installiert oder hat der Anbieter entsprechende Sicherheitskorrekturen bereitgestellt?
- Datensicherung erstellen: Vor einem Versionswechsel solltest du ein aktuelles Backup deiner Dateien und Datenbank besitzen.
- Kompatibilität berücksichtigen: Ein Wechsel auf eine neuere PHP-Hauptversion kann bei älteren Themes oder Plugins Probleme verursachen. Teste die Umstellung möglichst vorher.
- WordPress aktuell halten: Auch wenn WordPress-Updates diese PHP-Lücken nicht beheben, bleiben sie für die allgemeine Sicherheit wichtig.
Bei den aktuellen Schwachstellen ist allerdings Eile geboten. Ein mögliches Kompatibilitätsproblem sollte nicht dazu führen, dass eine bekannte kritische Sicherheitslücke dauerhaft offen bleibt.
Wenn dein Hosting-Anbieter noch keine Informationen bereitgestellt hat, lohnt sich eine direkte Nachfrage.
Denn nur weil deine Webseite einwandfrei funktioniert, bedeutet das nicht automatisch, dass sie sicher ist.
Sicherheitsprobleme machen sich schließlich nicht unbedingt durch Fehlermeldungen bemerkbar. Auch eine erfolgreiche Kompromittierung muss nicht sofort sichtbar sein.
Wer seine PHP-Installation nicht zeitnah absichern kann, sollte mit dem Hosting-Anbieter über vorübergehende Schutzmaßnahmen sprechen. Bei besonders gefährdeten Systemen kann es sogar sinnvoll sein, den öffentlichen Zugriff vorübergehend einzuschränken.
Fazit: WordPress-Sicherheit endet nicht bei WordPress
Die aktuellen PHP-Sicherheitslücken zeigen, wie viele technische Komponenten im Hintergrund einer Webseite zusammenarbeiten.
Wer WordPress verwendet, sollte deshalb nicht ausschließlich auf Updates im Administrationsbereich achten. Auch die PHP-Version, der Hosting-Anbieter und die allgemeine Serverkonfiguration spielen eine wichtige Rolle.
Die gute Nachricht: Bei einem ordentlich betreuten Hosting-Angebot müssen Webseitenbetreiber viele dieser Aufgaben nicht selbst übernehmen.
Trotzdem lohnt es sich, gelegentlich einen Blick hinter die Kulissen zu werfen.
Denn eine sichere WordPress-Webseite braucht mehr als aktuelle Plugins und ein grünes Häkchen beim Website-Zustand.
Stand: 21. Oktober 2026. Da sich die Sicherheitslage kurzfristig ändern kann, sollten Webseitenbetreiber die aktuellen Hinweise ihres Hosting-Anbieters und des PHP-Projekts beachten.
Quellen und weiterführende Informationen
- PHP – offizielle Webseite und Sicherheitsupdates
- PHP – Sicherheitswarnung zu den kritischen Schwachstellen
- Wiz Research – PHP2Shell: Analyse der Sicherheitslücken
- NCSC-NL – Informationen zu PHP2Shell
- Automattic – Schutzmaßnahmen für WordPress-Hosting
Bildhinweis: Die Bilder wurden mithilfe künstlicher Intelligenz erstellt und dienen der symbolischen Illustration des Artikels.