Am 21. Oktober 2026 hat PHP zwei kritische Lücken geschlossen. Sicher sind nur die Versionen 8.2.35, 8.3.36, 8.4.27 und 8.5.12 oder neuer. Prüf heute, welche PHP-Version deine Website nutzt, und lass dir vom Hoster schriftlich bestätigen, dass das Update eingespielt ist.
Deine Website läuft mit WordPress, Joomla oder einem kleinen Shop. Seit dem 21. Oktober liest du überall von einer gefährlichen Lücke namens PHP2Shell. Die Frage ist simpel: Bist du betroffen, und musst du selbst etwas tun?
PHP ist die Programmiersprache, mit der der Server deine Seiten zusammenbaut, bevor sie im Browser ankommen. Auch WordPress läuft damit. Deshalb kann die Lücke deine Website betreffen, auch wenn du von PHP noch nie gehört hast.
Die gute Nachricht: Das Update gibt es schon. Die schlechte: Es wirkt erst, wenn es auf dem Server deiner Website auch wirklich installiert ist. Genau das prüfst du jetzt.
Was genau passiert ist
Die PHP-Entwickler haben am 21. Oktober 2026 Updates für zwei Schwachstellen veröffentlicht. Sie tragen die Kennungen CVE-2026-109618 und CVE-2026-109619. Beide sind mit 9,2 von 10 Punkten als kritisch eingestuft. In den Medien heißen sie PHP2Shell.
Laut Warnung des Bundesamts für Sicherheit in der Informationstechnik (BSI) können Angreifer damit aus der Ferne eigenen Code auf dem Webserver ausführen. Sie brauchen dafür kein Passwort, und du musst nirgends klicken. Wer das schafft, kann im schlimmsten Fall deine Website verändern, Formulardaten mitlesen oder den Server für weitere Angriffe nutzen.
Betroffen sind laut den Sicherheitshinweisen der PHP-Entwickler alle Versionen vor 8.2.35, 8.3.36, 8.4.27 und 8.5.12. Das BSI meldete in seiner Warnung vom 21. Oktober noch keine bestätigten Angriffe, aber unbestätigte Berichte über funktionierenden Angriffscode. Warten ist also keine gute Idee.
Wer muss das Update einspielen?
Das hängt davon ab, wie deine Website betrieben wird. Viele kleine Websites liegen bei einem Webhoster in einem normalen Hosting-Paket. Dort betreibt der Anbieter den Server, und das Einspielen des PHP-Updates ist seine Aufgabe. Du musst aber prüfen, ob es passiert ist, und du entscheidest oft selbst, welche PHP-Version deine Seite nutzt.
- Hosting-Paket beim Webhoster: Der Hoster aktualisiert PHP. Du prüfst die Version und stellst sie bei Bedarf um.
- Eigener Server oder vServer: Du oder dein Dienstleister müsst das Update selbst installieren. Und zwar jetzt.
- Agentur oder Webdesigner betreut die Seite: Frag dort nach, wer für den Server zuständig ist. Oft weiß das niemand genau, bis etwas passiert.
- Reiner Baukasten ohne Zugriff auf PHP: Der Anbieter kümmert sich um alles. Achte auf seine Kundeninfo.
Schritt für Schritt: PHP-Version prüfen
- Im Kundenbereich des Hosters nachsehen. Such dort nach einem Menüpunkt wie PHP-Einstellungen oder PHP-Version, meist bei der jeweiligen Domain oder Website.
- In WordPress nachsehen. Im Dashboard findest du unter Werkzeuge den Website-Zustand (englisch Site Health). Im Reiter mit den Detailinformationen zeigt der Bereich Server Angaben zu PHP. Dort gibt es auch eine Funktion, alle Angaben in die Zwischenablage zu kopieren. Das ist praktisch für die Nachricht an deinen Hoster.
- Die Nummer vergleichen. Wichtig ist die volle Nummer mit drei Teilen. Steht da zum Beispiel 8.3.36 oder höher, ist dieser Zweig repariert. Steht da 8.3.30, fehlt das Update.
- Zweige unter 8.2 ernst nehmen. Laut PHP-Projekt werden nur noch die Zweige 8.2 bis 8.5 offiziell unterstützt. Zeigt dein Paket 8.1, 8.0 oder sogar 7.4 an, läuft deine Seite auf einem Zweig ohne offizielle Unterstützung. Dann solltest du auf eine neuere Version wechseln.
Merke: Die Kurzform 8.3 sagt nichts über das Update. Erst die dritte Stelle verrät, ob der Fix drin ist.
Diese drei Fragen stellst du deinem Hoster
Siehst du die genaue Version nicht, oder bist du unsicher, schreib dem Support. Eine kurze, konkrete Mail wird schneller beantwortet als ein allgemeines "Bin ich betroffen?".
- Ist auf dem Server meiner Domain das PHP-Sicherheitsupdate vom 21. Oktober 2026 gegen CVE-2026-109618 und CVE-2026-109619 installiert?
- Welche genaue PHP-Version läuft für meine Website?
- Falls ich noch eine alte Version nutze: Welche neuere Version empfehlt ihr, und wie stelle ich um?
Heb die Antwort auf. Für einen Verein oder eine kleine Firma ist das ein sauberer Nachweis, dass du dich gekümmert hast.
Alte PHP-Version? Jetzt umstellen, aber mit Netz
Die PHP-Version kannst du im Kundenbereich deines Hosters oft selbst umstellen. Bei älteren Websites kann danach aber ein Plugin, ein Theme oder ein Formular streiken. So gehst du vor:
- Mach vorher eine vollständige Sicherung von Dateien und Datenbank. Wie du Sicherungen sinnvoll aufbaust, steht in unserem Ratgeber zur 3-2-1-Backup-Regel.
- Aktualisiere zuerst WordPress, alle Plugins und das Theme.
- Stell dann die PHP-Version um und klick deine wichtigsten Seiten durch: Startseite, Kontaktformular, Shop oder Mitgliederbereich.
- Klappt etwas nicht, stell kurz zurück und hol dir Hilfe. Bleib aber nicht dauerhaft auf der alten Version.
Ein Hinweis für alle mit PHP 8.2: Dieser Zweig bekommt laut PHP-Projekt nur noch bis zum 31. Dezember 2026 Sicherheitsupdates. Wenn du sowieso gerade umstellst, nimm direkt 8.4 oder 8.5. Diese Zweige bekommen laut PHP-Projekt noch bis Ende 2028 beziehungsweise Ende 2029 Sicherheitsupdates.
Eigener Server: Was jetzt zählt
Betreibst du einen eigenen Server oder vServer, liegt alles bei dir. Die PHP-Entwickler schreiben in ihren Sicherheitshinweisen klar: Das Update ist der einzige vollständige Schutz. Alle anderen Einstellungen helfen nur teilweise.
Die britische Cybersicherheitsbehörde NCSC rät: alle PHP-Installationen finden, zuerst die aus dem Internet erreichbaren aktualisieren, und Systeme, die sich nicht sofort absichern lassen, notfalls vom Netz nehmen. Systeme, die länger ungeschützt waren, sollten auf Spuren eines Einbruchs geprüft werden.
Nach dem Update: kurz nachschauen
Das Update schließt die Lücke. Es wirft aber niemanden raus, der vorher schon eingedrungen ist. Nimm dir deshalb zehn Minuten für einen Blick auf deine Website:
- Gibt es in WordPress Benutzer mit Administratorrechten, die du nicht kennst?
- Sind Plugins installiert, die niemand bewusst hinzugefügt hat?
- Zeigt die Seite fremde Links, Weiterleitungen oder Werbung?
Fällt dir etwas davon auf, ändere die Zugangsdaten zum Hosting und zu WordPress und lass die Seite gründlich prüfen. Regelmäßige Pflege verhindert viele solcher Probleme, mehr dazu in Warum Website-Pflege und Updates so wichtig sind. Für Vereine lohnt sich bei der Gelegenheit auch ein Blick darauf, was rechtlich auf eine Vereinswebsite muss.
Was dieser Tipp nicht löst: Ein aktuelles PHP schützt nicht vor veralteten Plugins, schwachen Passwörtern oder einer Website, die seit Jahren niemand gepflegt hat. Die Lücke ist ein guter Anlass, das ganze Paket einmal anzusehen.
Dein nächster Schritt: Schau noch heute in den Kundenbereich deines Hosters und notier dir die genaue PHP-Version. Wenn du nicht weißt, wo du suchen sollst, oder die Umstellung lieber nicht allein machen willst: KapFixIT hilft dir dabei, ruf einfach an unter 0175 7107525.
Quellen
- BSI: PHP, kritische Schwachstellen bedrohen Webanwendungen weltweit (21.10.2026)
- PHP-Entwickler: Sicherheitshinweis CVE-2026-109618
- PHP-Entwickler: Sicherheitshinweis CVE-2026-109619
- PHP: Unterstützte Versionen
- NCSC: Critical security issue affecting PHP
- WordPress: Site Health screen
Ein Anruf klärt meist in zehn Minuten, ob und wie ich helfen kann. Kostenlos und unverbindlich, ich gehe fast immer selbst ran.
