Wer eine WordPress-Website betreibt, sollte in diesen Tagen einen Blick auf die verwendete PHP-Version werfen. Am 21. Oktober 2026 hat das PHP-Projekt zwei kritische Sicherheitslücken geschlossen. Die Schwachstellen können unter bestimmten Voraussetzungen eine nicht authentifizierte Remote-Code-Ausführung ermöglichen. Das bedeutet vereinfacht gesagt: Ein Angreifer könnte unter Umständen Schadcode auf einem betroffenen Server ausführen, ohne sich vorher an der Website anmelden zu müssen.
Das Problem betrifft deshalb nicht nur einzelne WordPress-Installationen. Es handelt sich um eine Sicherheitslücke in PHP selbst – also in der Programmiersprache, auf der WordPress aufsetzt.
Was ist passiert?
PHP ist die technische Grundlage für einen großen Teil des Internets. Auch WordPress benötigt PHP, um Beiträge, Seiten, Plugins und Themes serverseitig zu verarbeiten.
Am 21. Oktober 2026 veröffentlichte das PHP-Projekt Sicherheitsupdates für zwei kritische Schwachstellen:
- CVE-2026-109618
- CVE-2026-109619
Beide Schwachstellen wurden mit einem CVSS-Wert von 9,2 als kritisch eingestuft. Nach Angaben des PHP-Projekts können sie eine Remote-Code-Ausführung ohne vorherige Anmeldung ermöglichen.
Die Ursache liegt tief im PHP-Kern, unter anderem in der Speicherverwaltung und der Verarbeitung interner Zustände. Für Betreiber einer normalen WordPress-Website ist es allerdings nicht notwendig, die technischen Details der Schwachstellen zu verstehen.
Entscheidend ist eine andere Frage:
Welche PHP-Version läuft auf meinem Server – und wurde sie bereits aktualisiert?
WordPress selbst ist nicht die Ursache
Hier liegt ein wichtiger Unterschied.
Wenn eine WordPress-Website betroffen ist, bedeutet das nicht automatisch, dass WordPress eine Sicherheitslücke enthält. Die aktuelle Schwachstelle befindet sich in PHP.
WordPress hat deshalb ausdrücklich darauf hingewiesen, dass für diese Sicherheitsprobleme kein spezielles WordPress-Update erforderlich ist. Stattdessen muss PHP auf dem Server aktualisiert werden.
Das ist für viele Betreiber allerdings etwas verwirrend.
WordPress lässt sich normalerweise direkt im Dashboard aktualisieren. PHP dagegen wird vom Webhoster beziehungsweise vom Serveradministrator bereitgestellt.
Welche PHP-Versionen sind betroffen?
Die aktuellen Sicherheitsupdates stehen unter anderem für folgende PHP-Versionen zur Verfügung:
- PHP 8.5.12
- PHP 8.4.27
- PHP 8.3.36
- PHP 8.2.35
Diese Versionen enthalten die Korrekturen für die beiden kritischen Sicherheitslücken.
Besonders wichtig ist dabei: PHP 8.1 und ältere Versionen werden vom PHP-Projekt nicht mehr regulär mit Sicherheitsupdates versorgt.
PHP 8.2 erhält zwar derzeit noch Sicherheitsunterstützung, erreicht aber Ende Dezember 2026 sein reguläres Ende des Supports. PHP 8.3 und neuere Versionen haben entsprechend längere Supportzeiträume.
Wer also noch eine ältere PHP-Version einsetzt, sollte die aktuelle Sicherheitslücke nicht zum Anlass nehmen, lediglich irgendein altes PHP-Paket zu installieren. Besser ist ein kontrollierter Wechsel auf eine noch unterstützte Version.
So findet man die PHP-Version in WordPress
Die verwendete PHP-Version lässt sich direkt im WordPress-Dashboard überprüfen.
Dazu geht man zu:
Werkzeuge → Website-Zustand → Info → Server
Dort zeigt WordPress unter anderem die verwendete PHP-Version an. Auch viele Webhoster stellen diese Information im Kundenbereich zur Verfügung.
Wer dort beispielsweise eine aktuelle Version aus dem 8.2-, 8.3-, 8.4- oder 8.5-Zweig sieht, sollte anschließend prüfen, ob bereits das aktuelle Sicherheitsrelease eingespielt wurde.
Die Versionsnummer allein reicht also nicht immer aus. Entscheidend ist die konkrete Patch-Version.
Was WordPress-Betreiber jetzt tun sollten
Für eine normale WordPress-Installation würde ich in dieser Situation Schritt für Schritt vorgehen.
1. PHP-Version kontrollieren
Zuerst feststellen, welche PHP-Version der eigene Webserver verwendet.
Das geht über:
Werkzeuge → Website-Zustand → Info → Server
Alternativ findet man die Information im Kundenbereich des Webhosters.
2. Beim Hoster nach einem PHP-Update schauen
Viele Hostinganbieter stellen Sicherheitsupdates automatisch bereit. Trotzdem sollte man nicht einfach davon ausgehen.
Im Kundenbereich sollte geprüft werden, ob eine aktualisierte PHP-Version verfügbar ist.
Bei Unsicherheit kann man den Support des Hosters kontaktieren und konkret fragen:
Ist meine auf dem Webhosting eingesetzte PHP-Version bereits gegen CVE-2026-109618 und CVE-2026-109619 abgesichert?
Das ist wesentlich besser, als nur zu fragen, ob „WordPress aktuell“ ist.
3. WordPress, Plugins und Themes ebenfalls aktualisieren
Auch wenn diese konkrete Sicherheitslücke PHP betrifft, sollte eine solche Situation daran erinnern, die komplette WordPress-Installation aktuell zu halten.
Dazu gehören:
- WordPress selbst
- Plugins
- Themes
- PHP
- gegebenenfalls die verwendete Server-Software
Eine Sicherheitslücke in PHP ersetzt schließlich nicht die normalen Sicherheitsprobleme von WordPress-Plugins oder Themes.
4. Vor größeren PHP-Wechseln ein Backup erstellen
Ein Wechsel beispielsweise von einer älteren PHP-Version auf PHP 8.4 oder 8.5 kann bei sehr alten Plugins oder Themes zu Problemen führen.
Deshalb sollte vor einem größeren Versionssprung ein vollständiges Backup vorhanden sein.
Dabei sollte man nicht nur die Datenbank sichern. Auch die WordPress-Dateien gehören dazu.
Ein Backup ist allerdings kein Ersatz für ein Sicherheitsupdate. Es dient vor allem dazu, nach einem problematischen Versionswechsel wieder auf einen funktionierenden Zustand zurückkehren zu können.
Was tun, wenn der Hoster noch kein Update anbietet?
Das ist der unangenehmste Fall.
Das PHP-Projekt empfiehlt die Aktualisierung ausdrücklich. Die europäischen Cybersecurity-Behörden ENISA, CERT-EU und weitere Organisationen haben ebenfalls dazu aufgerufen, betroffene Systeme schnellstmöglich zu aktualisieren. Wenn eine unmittelbare Behebung nicht möglich ist, soll eine Isolation beziehungsweise eine vorübergehende Abschaltung des öffentlich erreichbaren Systems in Betracht gezogen werden.
Für eine normale private WordPress-Website bedeutet das vor allem:
Nicht einfach abwarten.
Wenn der Hoster keine Möglichkeit bietet, PHP zeitnah zu aktualisieren, sollte man den Support kontaktieren und nachfragen, welche Schutzmaßnahme vorgesehen ist.
Ein Web Application Firewall (WAF) kann eine zusätzliche Schutzschicht darstellen. Solche Maßnahmen sind aber kein Ersatz für das PHP-Update. Auch Cloudflare weist ausdrücklich darauf hin, dass Schutzregeln des WAF die eigentliche Aktualisierung von PHP nicht ersetzen.
Und was ist mit WordPress-Updates?
Hier sollte man zwei Dinge voneinander trennen.
WordPress aktualisieren: Ja, unbedingt.
WordPress aktualisieren, um diese PHP-Sicherheitslücke zu schließen: Nein.
Die aktuelle Schwachstelle befindet sich nicht im WordPress-Core. Ein aktuelles WordPress kann auf einem verwundbaren PHP-System weiterhin gefährdet sein.
Umgekehrt kann ein aktualisiertes PHP natürlich nicht verhindern, dass eine veraltete WordPress-Version oder ein unsicheres Plugin eine andere Sicherheitslücke enthält.
Deshalb sollte man die Sicherheit einer WordPress-Website immer als Kette betrachten:
PHP + Webserver + WordPress + Plugins + Themes + Zugangsdaten + Backups
Ist nur ein Teil davon veraltet, kann die gesamte Installation zum Problem werden.
Was ist nach dem Update wichtig?
Das Aktualisieren von PHP ist der wichtigste Schritt. Trotzdem lohnt sich anschließend ein kurzer Sicherheitscheck.
Besonders aufmerksam sollte man auf folgende Dinge achten:
- unbekannte Administrator-Konten
- plötzlich veränderte PHP-Dateien
- unbekannte Plugins oder Themes
- unerwartete Weiterleitungen
- neue Dateien im WordPress-Verzeichnis
- ungewöhnliche Änderungen an Beiträgen oder Seiten
- verdächtige Aktivitäten in den Server- oder WordPress-Logs
Der Grund ist einfach:
Ein Sicherheitsupdate entfernt nicht automatisch einen Angreifer, der bereits Zugriff auf ein System erlangt hat.
Wenn der Verdacht besteht, dass eine Website bereits kompromittiert wurde, sollte man deshalb nicht einfach nur PHP aktualisieren und anschließend weitermachen.
In diesem Fall ist eine genauere Untersuchung des Systems notwendig.
Warum diese Sicherheitslücke besonders ernst genommen werden sollte
Die aktuelle Situation zeigt einmal mehr, wie abhängig WordPress-Betreiber von der darunterliegenden Infrastruktur sind.
WordPress kann vollständig aktuell sein und trotzdem durch eine Sicherheitslücke in PHP gefährdet werden.
Besonders problematisch ist, dass die aktuellen Schwachstellen grundsätzlich eine Remote-Code-Ausführung ohne vorherige Anmeldung ermöglichen können. Dadurch liegt die Problematik nicht bei einem bestimmten Plugin oder einem bestimmten WordPress-Theme, sondern auf einer Ebene, die viele unterschiedliche Anwendungen betrifft.
Nach der Veröffentlichung der Sicherheitsupdates ist außerdem damit zu rechnen, dass Sicherheitsforscher und Angreifer versuchen, die technischen Details der Schwachstellen auszuwerten und daraus Angriffe zu entwickeln. Reuters berichtete bereits von einer weltweiten Reaktion auf die Sicherheitslücken und von vorsorglich abgeschalteten Websites.
Für WordPress-Betreiber lautet die wichtigste Empfehlung derzeit:
Nicht in Panik geraten – aber handeln.
Die aktuelle PHP-Sicherheitslücke ist keine spezielle WordPress-Lücke. Trotzdem können WordPress-Websites betroffen sein, weil sie PHP benötigen.
Wer eine eigene WordPress-Website betreibt, sollte deshalb jetzt:
- die PHP-Version überprüfen,
- beim Hoster nach dem aktuellen Sicherheitsupdate schauen,
- PHP gegebenenfalls aktualisieren,
- WordPress, Plugins und Themes ebenfalls auf den aktuellen Stand bringen,
- vorher beziehungsweise regelmäßig funktionierende Backups sicherstellen,
- bei einem nicht aktualisierbaren Server den Hoster kontaktieren,
- nach dem Update auf ungewöhnliche Veränderungen achten.
Und vielleicht ist die aktuelle Sicherheitslücke auch ein guter Anlass, einmal grundsätzlich über die eigene WordPress-Installation nachzudenken.
Denn Sicherheit bedeutet nicht nur, im WordPress-Dashboard auf „Aktualisieren“ zu klicken.
Eine sichere Website beginnt beim gesamten System – und PHP gehört dazu.
