PHP-Sicherheitslücke Oktober 2026: Was WordPress- und Website-Betreiber jetzt wissen müssen

Das Wichtigste in Kürze

• Am 21. Oktober 2026 wurden zwei kritische Lücken in PHP veröffentlicht: CVE-2026-109618 und CVE-2026-109619, in der Fachpresse „PHP2Shell“ genannt.
• Ein Angreifer kann damit ohne Anmeldung eigenen Code auf dem Server ausführen. Das PHP-Team bewertet beide Lücken mit 9,2 von 10 Punkten.
• Repariert sind PHP 8.2.35, 8.3.36, 8.4.27 und 8.5.12. Für PHP 8.1 und älter gibt es keine offizielle neue Version.
• Wer eine Website mit PHP betreibt, etwa mit WordPress oder einem Shopsystem, sollte heute prüfen, welche PHP-Version läuft.

Stand: 21.10.2026. Die Angaben habe ich bei den unten genannten Quellen gelesen. Die Lage kann sich in den nächsten Tagen ändern. Dieser Beitrag ist ein Hinweis und keine Sicherheitsberatung im Einzelfall.

Was ist passiert?

PHP ist eine Programmiersprache, mit der ein großer Teil der Websites arbeitet, darunter WordPress und viele Shopsysteme. Die beiden Lücken stecken im Kern von PHP, also nicht in einem einzelnen Plugin. Betroffen sind laut PHP alle Installationen, die Anfragen aus dem Internet beantworten, gleich ob über PHP-FPM, Apache oder andere Server.

Laut Sansec werden beide Lücken über Anfragen ausgelöst, wie Browser sie für Datei-Uploads verwenden. Eine Anmeldung ist nicht nötig. Die Einzelheiten waren schon vor der offiziellen Reparatur im Umlauf; die reparierten Versionen erschienen am 21. Oktober gegen 14 Uhr UTC.

Ob die Lücken schon ausgenutzt werden, beurteilen die Fachleute unterschiedlich. Sansec berichtet von ersten Angriffen am Morgen des 21. Oktober, Huntress hatte bis zum Vormittag in seinem Kundenstamm keine Ausnutzung gesehen. Mit einer schnellen Verbreitung von Angriffen ist zu rechnen, weil die Reparatur und erste Beschreibungen öffentlich sind.

Welche Versionen sind repariert?

PHP-Version	Stand
8.5	repariert ab 8.5.12
8.4	repariert ab 8.4.27
8.3	repariert ab 8.3.36
8.2	repariert ab 8.2.35
8.1, 8.0, 7.4	keine offizielle neue Version; PHP hat nur Korrekturen im Quelltext bereitgestellt, die ein Hoster selbst einbauen müsste

Welche PHP-Version ist aktuell?

Die neueste PHP-Version ist seit dem 21. Oktober 2026 PHP 8.5.12. Mit Sicherheitskorrekturen versorgt werden die Reihen 8.2 bis 8.5, jeweils in der reparierten Version aus der Tabelle oben. PHP 8.2 bekommt laut php.net nur noch bis 31. Dezember 2026 Sicherheitskorrekturen. Wer jetzt ohnehin umstellt, wählt besser 8.3 oder neuer; das empfiehlt auch WordPress.

Ist PHP noch zeitgemäß?

Ja. PHP wird aktiv entwickelt, und Lücken wie diese werden schnell repariert. Entscheidend ist nicht die Sprache, sondern ob jemand die Updates einspielt. Wer sich darum nicht kümmern will, hat zwei Wege: die Wartung an jemanden abgeben oder eine Website wählen, die beim Aufruf gar kein PHP braucht. Beides beschreibe ich unten.

Was Sie jetzt tun sollten

1. Version herausfinden: Im Kundenbereich Ihres Hosters steht meist, welche PHP-Version Ihre Website nutzt. In WordPress finden Sie sie unter „Werkzeuge“, „Website-Zustand“, Reiter „Bericht“, Abschnitt „Server“. Schritt für Schritt erkläre ich das im Ratgeber WordPress: PHP-Version prüfen und aktualisieren.
2. Aktualisieren oder umstellen: Läuft eine der reparierten Versionen, ist dieser Schritt erledigt. Läuft PHP 8.1 oder älter, stellen Sie auf eine aktuelle Version um. Prüfen Sie danach Ihre Seite, denn ältere Erweiterungen laufen nicht immer mit neuen Versionen.
3. Den Hoster fragen: Wenn Sie nicht selbst an die Einstellungen kommen, fragen Sie Ihren Hoster, ob die reparierte Version eingespielt ist.
4. Auf Warnzeichen achten: Unbekannte Dateien im Webordner, neue Benutzerkonten, neue zeitgesteuerte Aufgaben oder unerklärliche Weiterleitungen. Dann die Protokolle sichern und eine Fachperson hinzuziehen. Was bei einer befallenen WordPress-Seite zu tun ist, beschreibe ich im Ratgeber WordPress gehackt: Schadcode entfernen.

Ob Ihre Website sonst auf aktuellem Stand ist, können Sie mit meinem Ratgeber Website selbst prüfen nachsehen.

Und Websites ohne PHP?

Websites, die selbst kein PHP ausführen, zum Beispiel vorab erzeugte statische Seiten, waren von diesen beiden Lücken nicht betroffen. Das heißt nicht, dass sie ohne Risiko sind: Auch sie hängen von Software ab, die gepflegt und aktualisiert werden muss. Wie solche Websites aufgebaut sind und für wen sie sich lohnen, beschreibe ich auf der Seite Sichere Website. Läuft auf derselben Website ein einzelnes PHP-Skript, etwa für ein Kontaktformular, gilt die Lücke dafür trotzdem.

So habe ich es gehandhabt

Auf meinem Server laufen die reparierten Versionen. Websites mit älteren PHP-Versionen habe ich auf eine aktuelle Version umgestellt und danach einzeln aufgerufen und geprüft. Für Kunden mit Managed Website gehört das zur laufenden Pflege. In den Protokollen der letzten zwei Tage habe ich keine Hinweise auf einen Missbrauch gefunden. Das ist keine Garantie; deshalb behalte ich die Protokolle weiter im Blick. Wenn Sie wissen möchten, wie das bei Ihrer Website aussieht, schreiben Sie mir über das Kontaktformular: Den Sicherheits-Check von außen mache ich kostenlos. Für bestehende WordPress-Seiten übernehme ich die laufende WordPress-Wartung mit festem Monatspreis.

Quellen

• PHP, ChangeLog Version 8 (Einträge zu GHSA-w8hw-w9fx-j79w und GHSA-6wmf-4rv5-p3rp): php.net, abgerufen am 21.10.2026
• Sansec, „PHP2Shell: Critical PHP RCE (CVE-2026-109618, CVE-2026-109619)“: sansec.io, abgerufen am 21.10.2026
• Huntress, „Rapid Response: php2shell“: huntress.com, abgerufen am 21.10.2026
• Help Net Security, „PHP2Shell: Critical PHP vulnerabilities patched“: helpnetsecurity.com, abgerufen am 21.10.2026