Diesmal liegt das Problem nicht in WordPress.
Wer eine WordPress-Website betreibt, kennt die üblichen Sicherheitshinweise: WordPress aktualisieren, Plugins aktuell halten, Themes prüfen. Aktuell reicht das allerdings nicht aus.
Unter dem Namen PHP2Shell sorgen derzeit zwei kritische Sicherheitslücken in PHP für Aufmerksamkeit. Und PHP ist genau die technische Grundlage, auf der WordPress und viele andere Websites laufen.
Das Entscheidende daran: Die Schwachstelle steckt nicht in einem bestimmten WordPress-Plugin, Theme oder einer schlecht programmierten Website. Sie befindet sich direkt in PHP. Deshalb können grundsätzlich auch Websites betroffen sein, bei denen WordPress, Plugins und Themes vollständig aktuell sind.
Was ist PHP2Shell überhaupt?
Bei PHP2Shell handelt es sich um zwei kritische Schwachstellen, die unter den Kennungen CVE-2026-109618 und CVE-2026-109619 geführt werden.
Beide wurden mit einem CVSS-Wert von 9,2 als kritisch eingestuft. Vereinfacht gesagt können sie es einem Angreifer unter bestimmten Voraussetzungen ermöglichen, über eine Webanfrage Code auf einem betroffenen Server auszuführen – und das, ohne sich vorher anmelden zu müssen.
Das ist genau der Punkt, der die aktuelle Situation so relevant macht. Ein Angreifer müsste nicht zuerst einen WordPress-Login knacken oder eine Schwachstelle in einem Plugin finden. Der Angriff kann bereits auf Ebene der PHP-Laufzeit stattfinden, also bevor WordPress überhaupt sinnvoll eingreifen kann.
Ist jede WordPress-Website betroffen?
Nicht WordPress selbst ist betroffen, sondern die PHP-Version, die auf dem Webserver läuft. Deshalb betrifft das Thema grundsätzlich nicht nur WordPress, sondern auch andere Systeme und Webanwendungen, die PHP verwenden.
Für WordPress-Betreiber bedeutet das: Entscheidend ist jetzt nicht nur, welche WordPress-Version installiert ist, sondern vor allem, welche PHP-Version der Server tatsächlich verwendet und ob der Hostinganbieter bereits das entsprechende Sicherheitsupdate eingespielt hat.
Welche PHP-Versionen schließen die Sicherheitslücke?
Das PHP-Projekt hat am 21. Oktober 2026 Sicherheitsupdates für die aktuell unterstützten PHP-Versionen veröffentlicht.
Die korrigierten Versionen sind:
- PHP 8.5.12
- PHP 8.4.27
- PHP 8.3.36
- PHP 8.2.35
Wer noch PHP 8.1 oder älter verwendet, hat ein zusätzliches Problem: Diese Versionen werden vom PHP-Projekt nicht mehr regulär mit Sicherheitsupdates versorgt. Je nach Hostinganbieter kann es zwar eigene Rückportierungen geben, langfristig sollte eine solche Website aber ohnehin auf eine unterstützte PHP-Version wechseln.
PHP 8.2 erhält ebenfalls nur noch begrenzt Sicherheitsupdates und erreicht Ende 2026 sein reguläres Lebensende. Für Websites, die ohnehin technisch überprüft werden müssen, kann es deshalb sinnvoll sein, nicht nur den aktuellen Patch einzuspielen, sondern gleichzeitig zu prüfen, ob ein Wechsel auf PHP 8.3, 8.4 oder 8.5 möglich ist.
Wie finde ich heraus, welche PHP-Version meine Website verwendet?
Bei WordPress lässt sich das direkt im Backend prüfen.
Gehe dazu zu:
Werkzeuge → Website-Zustand → Bericht → Server
Dort findest du unter anderem die aktuell verwendete PHP-Version.
Alternativ kannst du die Version meistens auch direkt im Kundenbereich deines Hostinganbieters sehen. Gerade bei klassischen Webhosting-Paketen wird dort häufig nur die Hauptversion angezeigt, beispielsweise PHP 8.4. Die konkrete Patch-Version – also beispielsweise 8.4.27 – wird teilweise automatisch vom Hoster verwaltet.
Wenn du deshalb nur „PHP 8.4“ siehst, bedeutet das nicht automatisch, dass die Sicherheitslücke noch besteht. Im Zweifel lohnt sich ein Blick in die Informationen des Hosters oder eine kurze Nachfrage beim Support.
Nicht einfach blind die PHP-Version wechseln.
So dringend das Sicherheitsupdate ist: Eine Website sollte trotzdem nicht völlig ungetestet von einer alten PHP-Version auf die neueste verfügbare Hauptversion umgestellt werden.
Gerade ältere WordPress-Websites können Plugins, Themes oder eigene Funktionen enthalten, die mit einer neueren PHP-Version nicht mehr sauber funktionieren.
Der sinnvolle Ablauf ist deshalb:
- Backup der Website erstellen
- aktuelle PHP-Version prüfen
- verfügbare Sicherheitsupdates beim Hoster prüfen
- WordPress, Plugins und Themes aktualisieren
- Kompatibilität mit einer aktuellen PHP-Version prüfen
- PHP aktualisieren
- Website anschließend vollständig testen
Bei professionell betreuten Websites sollte dieser Prozess ohnehin selbstverständlich sein. Bei Websites, die seit mehreren Jahren kaum technisch angefasst wurden, ist die aktuelle Situation allerdings ein ziemlich guter Anlass, einmal genauer hinzusehen.
Reicht ein Sicherheitsplugin?
Nein.
Ein WordPress-Sicherheitsplugin kann viele sinnvolle Aufgaben übernehmen. Es kann verdächtige Anmeldeversuche erkennen, Dateien überwachen oder bestimmte Angriffe blockieren.
Die aktuelle Schwachstelle liegt allerdings unterhalb von WordPress direkt in PHP. Deshalb kann ein Plugin das eigentliche Problem nicht zuverlässig beheben.
Auch eine Web Application Firewall kann das Risiko unter Umständen reduzieren. Sie ersetzt das Sicherheitsupdate aber nicht. Das PHP-Projekt selbst macht deutlich, dass das Aktualisieren auf eine korrigierte Version die entscheidende Maßnahme ist.
Und was ist mit meinem Hostinganbieter?
Wer klassisches Managed Hosting oder Webhosting nutzt, muss die PHP-Pakete auf dem Server normalerweise nicht selbst installieren. Das übernimmt der Hostinganbieter.
Trotzdem lohnt sich die Kontrolle. Denn „der Hoster kümmert sich darum“ und „meine Website läuft definitiv bereits auf einer korrigierten Version“ sind zwei unterschiedliche Aussagen.
Bei einem eigenen Server, VPS, Docker-Setup oder einer individuell administrierten Umgebung liegt die Verantwortung dagegen direkt beim Betreiber beziehungsweise Administrator. Hier sollte das Update unmittelbar eingeplant werden.
Was Website-Betreiber jetzt konkret tun sollten.
Wer eine WordPress-Website betreibt, muss deshalb nicht in Panik geraten. Ignorieren sollte man das Thema aber ebenfalls nicht.
Prüfe zunächst, welche PHP-Version deine Website verwendet. Läuft bereits eine der korrigierten Versionen, ist dieser Punkt erledigt. Wird lediglich eine Hauptversion angezeigt, prüfe beim Hostinganbieter, ob das aktuelle Sicherheitsupdate bereits installiert wurde.
Läuft die Website noch auf PHP 8.1 oder einer noch älteren Version, sollte die aktuelle Sicherheitslage spätestens jetzt der Anlass sein, die technische Basis der Website zu modernisieren.
Und genau darin steckt eigentlich die wichtigere Lektion: Websites werden nicht unsicher, weil plötzlich jemand etwas falsch gemacht hat. Sie werden häufig unsicher, weil sich über Jahre niemand mehr verantwortlich fühlt.
Eine Website ist kein einmal abgeschlossenes Projekt. WordPress, PHP, Plugins, Server und externe Dienste entwickeln sich weiter. Wer diese technische Basis regelmäßig pflegt, muss bei Meldungen wie PHP2Shell nicht hektisch reagieren, sondern lediglich prüfen, ob die eigene Umgebung bereits auf dem aktuellen Stand ist.
Unsicher, ob deine Website betroffen ist?
Wenn du nicht weißt, welche PHP-Version deine Website verwendet, ob dein Hosting aktuell ist oder ob ein Update problemlos möglich ist, können wir uns das gemeinsam ansehen.
Ein kurzer technischer Check reicht häufig schon aus, um zu beurteilen, ob tatsächlich Handlungsbedarf besteht – oder ob dein Hostinganbieter die notwendigen Updates längst im Hintergrund erledigt hat.