Stand: 29. Oktober 2026. Das PHP-Projekt hat Sicherheitsupdates für zwei kritische Schwachstellen veröffentlicht, die eine nicht authentifizierte Ausführung von Schadcode ermöglichen können. Betroffen ist nicht WordPress als Anwendung, sondern die PHP-Laufzeit auf dem Server. Genau deshalb reicht es nicht, WordPress, Themes und Plugins im Dashboard zu aktualisieren. Websitebetreiber müssen zusätzlich prüfen, welche PHP-Version ihr Hosting tatsächlich verwendet. Zum aktuellen Zeitpunkt haben alle gängigen grossen deutsche Webhoster die Patches zügig und zuverlässig eingespielt.
Welche PHP-Versionen die Sicherheitskorrekturen enthalten
Der Sicherheitshinweis des PHP-Projekts vom 21. Oktober 2026 nennt zwei kritische Lücken: CVE-2026-109618 und CVE-2026-109619. Sie betreffen Installationen, die Webanfragen verarbeiten – darunter PHP-FPM, Apache mit mod_php, php-cgi, FrankenPHP und LiteSpeed.
Die korrigierten Versionen sind:
- PHP 8.5.12
- PHP 8.4.27
- PHP 8.3.36
- PHP 8.2.35
Eine höhere Hauptversion ist nicht automatisch sicher, wenn das erforderliche Wartungsupdate fehlt. PHP 8.4.26 liegt beispielsweise unter der korrigierten Version 8.4.27. Umgekehrt können Linux-Distributionen oder Langzeit-Support-Anbieter Korrekturen zurückportieren, ohne die angezeigte Versionsnummer genauso zu ändern. Im Zweifel muss der Hoster bestätigen, dass die beiden CVEs geschlossen sind.
Warum ein WordPress-Update nicht genügt
WordPress.org weist ausdrücklich darauf hin, dass für diese Lücken kein WordPress-Update vorgesehen ist. PHP verarbeitet die Anfrage, bevor oder während WordPress ausgeführt wird. Eine aktuelle WordPress-Version schützt daher nicht vor einem Fehler in der darunterliegenden Laufzeit.
Die eigene Version lässt sich im WordPress-Backend unter Werkzeuge → Website-Zustand → Bericht → Server kontrollieren. Viele Hoster zeigen sie zusätzlich in der Hosting-Verwaltung an. Bei mehreren Websites ist jede Instanz beziehungsweise jeder Hosting-Tarif zu prüfen: Eine Domain kann bereits PHP 8.4 nutzen, während eine ältere Installation im selben Kundenkonto noch auf PHP 8.1 läuft.
Der sichere Ablauf: prüfen, sichern, aktualisieren, testen
- Ist-Zustand dokumentieren. Notieren Sie PHP-Version, WordPress-Version, aktives Theme, wichtige Plugins und den Hosting-Tarif. Ein Screenshot der PHP-Einstellung hilft bei Rückfragen.
- Hoster-Status klären. Fragen Sie konkret nach CVE-2026-109618 und CVE-2026-109619. Die Aussage „unsere Server werden regelmäßig aktualisiert“ beantwortet nicht, ob die Korrekturen bereits aktiv sind.
- Vollständiges Backup anlegen. Datenbank und Dateien müssen gesichert sein. Prüfen Sie außerdem, ob sich das Backup tatsächlich wiederherstellen lässt und wie lange eine Rücksicherung dauert.
- Kompatibilität testen. Ein Wechsel von PHP 8.1 auf 8.3 oder 8.4 kann veraltete Plugins, Themes oder eigene Funktionen sichtbar machen. Nutzen Sie nach Möglichkeit eine Staging-Kopie. Die kritischen Sicherheitsupdates innerhalb derselben PHP-Reihe sollten trotzdem ohne unnötige Verzögerung eingespielt werden.
- Nach dem Wechsel zentrale Abläufe prüfen. Öffnen Sie Frontend und Backend, senden Sie ein Formular, testen Sie Suche, Login und Datei-Upload. Bei WooCommerce gehören Warenkorb, Kasse, Zahlungsart, Bestellmail und ein Testauftrag auf die Liste.
- Fehlerprotokolle kontrollieren. Ein scheinbar funktionierendes Frontend schließt Warnungen oder Abbrüche im Hintergrund nicht aus. Prüfen Sie PHP- und WordPress-Logs direkt nach dem Update und erneut nach realem Betrieb.
Was tun, wenn der Hoster noch kein Update anbietet?
Das PHP-Projekt schreibt, dass nur das Update die vollständige Lösung ist. Konfigurationsänderungen und Web Application Firewalls können einzelne Angriffswege erschweren, ersetzen die Korrektur jedoch nicht. Schicken Sie dem Support den offiziellen Sicherheitshinweis und verlangen Sie eine klare Auskunft zu korrigierter Version, Backport oder geplantem Einspielzeitpunkt.
Bei selbst verwalteten Servern ist besondere Eile nötig. Wer weder Paketverwaltung noch Serverkonfiguration sicher beherrscht, sollte nicht spontan einzelne PHP-Binärdateien austauschen. Zuständiger Administrator oder Hoster müssen das Update inklusive Webserver, PHP-Worker und Neustart sauber durchführen. Bleibt ein öffentlich erreichbares System ungepatcht, empfiehlt WordPress.org unter Berufung auf nationale Sicherheitsbehörden sogar, es bis zur vollständigen Absicherung vorübergehend offline zu nehmen.
PHP 8.2 ist nur noch eine Übergangslösung
PHP 8.2.35 schließt die aktuellen Lücken, doch der Zweig erreicht laut offiziellem PHP-Supportzeitplan am 31. Dezember 2026 sein Lebensende. Für Betreiber auf PHP 8.2 sind deshalb zwei Schritte sinnvoll: jetzt mindestens auf 8.2.35 aktualisieren und anschließend den kontrollierten Wechsel auf PHP 8.3 oder 8.4 vorbereiten. PHP 8.1 und ältere Versionen erhalten vom PHP-Projekt bereits keine regulären Sicherheitsupdates mehr.
Der praktische Kern ist überschaubar: Versionsnummer prüfen, Patchstatus beim Hoster bestätigen lassen, Backup anlegen und die wichtigsten Funktionen nach dem Update testen. Wer nur das grüne „WordPress ist aktuell“ im Dashboard kontrolliert, übersieht bei diesem Sicherheitsfall die entscheidende Ebene.