Kritische PHP-Sicherheitslücke: Das musst Du jetzt wissen
Am 21. Oktober 2026 hat das PHP-Team zwei kritische Sicherheitslücken geschlossen. Sie betreffen fast jede Website, die auf PHP läuft, also auch WordPress, WooCommerce und viele Shopsysteme. Hier erfährst Du, was passiert ist, was Du tun solltest und wie wir uns um unsere Support-Kunden kümmern.
Was ist passiert?
PHP ist die Programmiersprache, auf der der Großteil aller Websites läuft, darunter WordPress. In PHP wurden zwei Schwachstellen entdeckt, die unter dem Namen „PHP2Shell” bekannt geworden sind (CVE-2026-109618 und CVE-2026-109619). Beide sind mit 9,2 von 10 Punkten als kritisch eingestuft.
Das Gefährliche daran: Angreifer können über diese Lücken ohne Anmeldung Schadcode auf dem Webserver ausführen. Das BSI hält eine großflächige Ausnutzung kurz nach Veröffentlichung des Updates für wahrscheinlich. Die Details wurden zudem vorzeitig öffentlich bekannt, und mehrere Quellen berichten bereits von ersten Angriffen und Proof-of-Concept-Exploits.
Ist meine Website betroffen?
Sehr wahrscheinlich ja, wenn sie auf PHP läuft. Betroffen sind alle PHP-Versionen von 5.4 bis 8.5.11, unabhängig von der Serverkonfiguration (PHP-FPM, Apache mit mod_php, LiteSpeed und weitere).
Wichtig: Die Lücke steckt im Server, nicht in WordPress selbst. Ein WordPress-Update allein reicht deshalb nicht. Die PHP-Version auf dem Hosting muss aktualisiert werden.
| PHP-Version | Sicher ab |
|---|---|
| 8.5 | 8.5.12 |
| 8.4 | 8.4.27 |
| 8.3 | 8.3.36 |
| 8.2 | 8.2.35 |
| 8.1 und älter | kein offizieller Patch (Umstieg auf eine unterstützte Version nötig) |
Läuft Deine Website noch auf PHP 8.1 oder älter, ist ein Versionswechsel dringend. Das ist übrigens auch unabhängig von dieser Lücke ein Risiko.
Was solltest Du jetzt tun?
- PHP-Version prüfen. Im WordPress-Backend unter Werkzeuge → Website-Zustand → Info → Server oder bei Deinem Hoster.
- Beim Hoster nachfragen. Viele Hoster spielen die Updates gerade ein, bei manchen Shared-Hosting-Angeboten kommen die Pakete etwas später.
- Backup anlegen, bevor an der Umgebung etwas geändert wird.
- Nach dem Update testen: Formulare, Shop, Login, Plugins und Seitenaufbau.
- Ungewöhnliche Aktivitäten im Blick behalten, etwa unbekannte Dateien, neue Admin-Nutzer oder plötzliche Performance-Einbrüche.
So kümmern wir uns um unsere Support-Kunden
Bei Media Life lassen wir unsere Support-Kunden mit so etwas nicht allein. Wir prüfen die Websites und Hostings unserer Support-Kunden aktiv auf Fehler und Auffälligkeiten, darunter PHP-Version, Systemzustand und mögliche Folgeprobleme nach den Updates. Wo Handlungsbedarf besteht, melden wir uns und sorgen dafür, dass Deine Website sicher und stabil weiterläuft.
Die Basis dafür sind unsere Support-Pakete:
- Backups: Regelmäßige Sicherungen Deiner Website. Falls doch etwas schiefgeht, kommst Du schnell wieder auf einen sauberen Stand.
- Updates: WordPress, Themes und Plugins bleiben aktuell, damit Angreifer keine bekannten Lücken ausnutzen können.
Beides zusammen ist Dein Sicherheitsnetz, gerade bei Vorfällen wie diesem.
Du bist noch kein Support-Kunde?
Dann lass uns gemeinsam prüfen, wie es um Deine Website steht. Wir schauen uns Deine PHP-Version, Dein Hosting und Deinen Update-Stand an und sagen Dir ehrlich, wo Handlungsbedarf besteht.
[Jetzt Website-Check anfragen] · [Support-Pakete ansehen]
Stand: 22. Oktober 2026. Die Lage entwickelt sich weiter, wir aktualisieren diesen Beitrag bei neuen Erkenntnissen.
