Anfragen
[!] PHP-Sicherheitslücke · 21. Oktober 2026

Läuft deine Website auf aktuellem PHP?

PHP ist die Programmiersprache hinter sehr vielen Websites, auch hinter WordPress. Am 21. Oktober 2026 hat das PHP-Team zwei kritische Sicherheitslücken geschlossen (CVE-2026-109618 und CVE-2026-109619, auch „PHP2Shell“ genannt). Kein Grund zur Panik: In den meisten Fällen reicht ein Update, das dein Webhoster einspielt.

Hinweise per E-Mail bekommen

Abgesichert ab diesen Versionen

8.5.128.4.278.3.368.2.35

  • Das Update spielt in der Regel dein Webhoster ein, du musst an deiner Website meist nichts ändern.
  • PHP 8.1 und älter bekommt vom PHP-Team keine offiziellen Updates mehr. Dann ist ein Umstieg auf eine neuere Version fällig.
  • PHP 8.2 bekommt ab 1. Jänner 2027 keine Sicherheitsupdates mehr. Wer noch darauf läuft, plant den Umstieg am besten jetzt.

So findest du deine PHP-Version

  1. Mit WordPressIm Dashboard unter Werkzeuge → Website-Zustand → Bericht → Server. Dort steht die PHP-Version mit allen Ziffern.
  2. Beim WebhosterIm Kundenbereich deines Hosters, meist bei der Domain unter „PHP-Version“ oder „PHP-Einstellungen“.
  3. Nicht sicher?Frag beim Support deines Hosters nach, ob das PHP-Update vom 21. Oktober 2026 eingespielt ist. Oder schreib mir „PHP“, ich zeig dir kostenlos, wo du nachschaust.

Häufige Fragen zur PHP-Lücke

Was ist PHP2Shell?

PHP2Shell ist der Spitzname für zwei kritische Sicherheitslücken in PHP selbst (CVE-2026-109618 und CVE-2026-109619, beide mit 9,2 von 10 bewertet). Angreifer könnten darüber ohne Anmeldung Code auf dem Server ausführen. Das PHP-Team hat sie am 21. Oktober 2026 mit den Versionen 8.5.12, 8.4.27, 8.3.36 und 8.2.35 geschlossen.

Ist meine Website von der PHP-Lücke betroffen?

Betroffen sind Server, die Websites mit einer älteren PHP-Version ausliefern, egal ob WordPress, Joomla oder eine selbst programmierte Seite. Läuft deine Seite auf PHP 8.5.12, 8.4.27, 8.3.36, 8.2.35 oder neuer, ist die Lücke geschlossen. Bei PHP 8.1 und älter gibt es vom PHP-Team keine offiziellen Updates mehr.

Muss ich bei WordPress selbst etwas tun?

Meist nicht: Die Lücke steckt in PHP, nicht in WordPress oder einem Plugin. Das Update spielt dein Webhoster auf dem Server ein. Ein WordPress-Update oder ein Sicherheits-Plugin schließt diese Lücke nicht. Prüfe aber, welche PHP-Version eingestellt ist, und stell auf eine unterstützte Version um, falls du noch PHP 8.1 oder älter nutzt.

Wie finde ich meine PHP-Version heraus?

Bei WordPress im Dashboard unter Werkzeuge, Website-Zustand, Bericht, Server. Sonst im Kundenbereich deines Webhosters bei der Domain unter „PHP-Version“ oder „PHP-Einstellungen“. Wenn du unsicher bist, frag beim Support nach, ob das PHP-Update vom 21. Oktober 2026 eingespielt ist.

Was mache ich, wenn meine Seite noch auf PHP 8.1 oder älter läuft?

Dann ist ein Umstieg auf PHP 8.2 oder neuer fällig, am besten gleich auf 8.4 oder 8.5, weil PHP 8.2 ab 1. Jänner 2027 keine Sicherheitsupdates mehr bekommt. Ältere Seiten brauchen dafür manchmal kleine Anpassungen am Code. Dabei helfe ich gern.

Quellen: php.net (Ankündigung und Sicherheitshinweis vom 21.10.2026), The Hacker News, Borns IT-Blog. Stand: 22. Oktober 2026.