Zuerst das Wichtigste: Am 21. Oktober 2026 hat das PHP-Projekt zwei kritische Sicherheitslücken geschlossen, die unter dem Namen php2shell bekannt geworden sind. Angreifer können darüber ohne Anmeldung eigenen Code auf dem Webserver ausführen. Sicher sind nur die Versionen 8.2.35, 8.3.36, 8.4.27 und 8.5.12. Für PHP 8.1 und älter liefert das PHP-Projekt keine fertigen Updates mehr. Prüfen Sie deshalb heute, welche PHP-Version Ihre Website nutzt, und stellen Sie im Kundenmenü Ihres Hosters auf eine der genannten Versionen um.
PHP ist die Programmiersprache, in der WordPress, Joomla, viele Shopsysteme und die meisten Kontaktformulare auf dem Server laufen. Fast jede Betriebs-Website nutzt sie, ohne dass der Inhaber davon etwas merkt. Genau deshalb betrifft diese Lücke so viele Websites auf einmal, vom Handwerksbetrieb in Essen bis zur Praxis im Ruhrgebiet.
Was am 21. Oktober passiert ist
Die beiden Lücken tragen die Nummern CVE-2026-109618 und CVE-2026-109619. Das PHP-Projekt hatte das Update einen Tag vorher angekündigt und am Mittwoch um 16 Uhr deutscher Zeit veröffentlicht. Laut der Mitteilung auf php.net sind alle PHP-Installationen betroffen, die Anfragen aus dem Internet beantworten, unabhängig vom Webserver. Einzelheiten zu den Lücken waren schon vor dem Update im Umlauf, erste Angriffsversuche wurden noch am selben Nachmittag gemeldet.
Auch das WordPress-Projekt hat am 21. Oktober eine eigene Warnung veröffentlicht. Der Kern: Ein WordPress-Update gibt es dafür nicht und wird es nicht geben, weil die Lücke nicht in WordPress liegt, sondern eine Ebene tiefer. Wer WordPress betreibt, muss PHP aktualisieren oder den Hoster dazu bringen.
Welche Versionen jetzt sicher sind
Das PHP-Projekt hat für alle vier gepflegten Versionsreihen eine korrigierte Fassung veröffentlicht:
- PHP 8.5.12
- PHP 8.4.27
- PHP 8.3.36
- PHP 8.2.35
Entscheidend ist die dritte Zahl. Ein Server mit PHP 8.4.26 hat die Lücke noch, einer mit 8.4.27 nicht mehr. Für PHP 8.1, 8.0 und 7.4 gibt es keine fertigen Updates, nur Korrekturen im Quelltext für Fachleute. Ob ein Hoster diese einbaut, entscheidet er selbst. Dazu kommt: PHP 8.2 bekommt laut php.net nur noch bis zum 31. Dezember 2026 Sicherheitsupdates. Wer jetzt ohnehin umstellt, geht gleich auf 8.3 oder 8.4.
So finden Sie heraus, welche Version Ihre Website nutzt
Sie brauchen dafür keinen Techniker. Bei WordPress steht die Version im Adminbereich:
- Melden Sie sich in WordPress an und öffnen Sie im Menü „Werkzeuge“ den Punkt „Website-Zustand“.
- Wechseln Sie oben auf den Reiter „Bericht“.
- Klappen Sie den Abschnitt „Server“ auf. Dort steht die PHP-Version mit allen drei Zahlen, etwa 8.3.36.
Steht dort eine der vier sicheren Nummern, ist Ihre Website auf dem Stand vom 21. Oktober. Steht dort eine ältere Nummer derselben Reihe, etwa 8.3.35, hat Ihr Hoster die Korrektur noch nicht eingespielt. Dann hilft eine Nachricht an den Hoster, denn die dritte Zahl können Sie selbst nicht ändern. Steht dort 8.1 oder weniger, müssen Sie die Reihe wechseln. Ohne WordPress sehen Sie die Version im Kundenmenü des Hosters, wie in den nächsten Abschnitten beschrieben.
So stellen Sie bei Strato um
Viele Betriebs-Websites liegen bei Strato oder IONOS, deshalb hier die Wege dort. Laut Strato-Hilfe geht es so: Melden Sie sich im Kunden-Login an, öffnen Sie das Menü mit den drei Punkten und wählen Sie „Ihr Paket“. Unter „Datenbanken und Webspace“ finden Sie „PHP-Version einstellen“. Dort wählen Sie die Version aus und speichern. Strato bietet derzeit 8.2 bis 8.5 an, die dritte Zahl pflegt Strato selbst nach. Nach dem Speichern dauert es einen Moment, bis die neue Version greift.
So stellen Sie bei IONOS um
Im IONOS-Konto klicken Sie oben im Menü auf „Hosting“ und wählen bei mehreren Verträgen den passenden aus. In der Kachel „PHP“ öffnen Sie die PHP-Einstellungen. Dort sehen Sie jede Domain mit der zugewiesenen Version und können sie einzeln umstellen. Eine Ausnahme nennt IONOS selbst: Bei „Managed WordPress“ und „MyWebsite“ legt IONOS die Version fest. Dort können Sie nichts einstellen, fragen Sie im Zweifel nach, ob das Update eingespielt ist.
Bei anderen Hostern heißt der Punkt ähnlich, meist „PHP-Version“ oder „PHP-Einstellungen“ im Kundenmenü. Auf Servern mit Plesk steht er unter „Websites & Domains“. Wer den Zugang zum Kundenmenü nicht hat, fragt die Agentur oder die Person, die die Website damals eingerichtet hat. Dieser Zugang gehört in Ihre Hände, spätestens jetzt.
Warum nach dem Umstellen manchmal eine weiße Seite kommt
Ein Wechsel der PHP-Reihe, etwa von 8.1 auf 8.4, ist technisch ein Klick. Ältere Themes und Plugins vertragen ihn aber nicht immer. Im ungünstigen Fall zeigt die Website danach nur noch eine weiße Seite oder eine Fehlermeldung. Das ist ärgerlich, aber kein Grund, auf einer unsicheren Version zu bleiben. So gehen Sie vor:
- Sicherung anlegen oder prüfen, dass die automatische Sicherung des Hosters aktuell ist.
- In WordPress alle anstehenden Updates für Plugins und Theme einspielen. Auf der Plugin-Seite steht bei jedem Eintrag, welche PHP-Version es mindestens braucht.
- Die PHP-Version zu einer ruhigen Tageszeit umstellen und danach Startseite, Kontaktformular und, falls vorhanden, den Shop durchklicken.
- Kommt eine Fehlermeldung, nennt sie meist das verantwortliche Plugin. Dieses Plugin abschalten oder ersetzen. Die PHP-Version zurückzudrehen löst das Problem nur scheinbar.
Was das mit der Wartung zu tun hat
Diese Lücke zeigt, warum eine Website jemanden braucht, der regelmäßig hinsieht. In unserer Website-Wartung spielen wir Updates nach einer Prüfung ein, sichern lokal und in der Cloud, prüfen die Erreichbarkeit und schicken einen Monatsbericht. Die PHP-Version aller betreuten Websites sehen wir dabei in einer Übersicht. So fällt auf, wenn eine Reihe aus der Pflege läuft oder ein Hoster nach einem Tag wie dem 21. Oktober noch nicht nachgezogen hat.
Ihre Liste für heute
- PHP-Version im Website-Zustand oder im Kundenmenü ablesen und notieren.
- Steht dort 8.2.35, 8.3.36, 8.4.27 oder 8.5.12: erledigt. Morgen noch einmal nachsehen, ob es so geblieben ist.
- Steht dort eine ältere Nummer derselben Reihe: dem Hoster schreiben und nach dem Termin für das Update fragen.
- Steht dort 8.1 oder älter: Sicherung prüfen, Plugins aktualisieren, auf 8.3 oder 8.4 umstellen, Website testen.
- Zeigt die Website nach dem Wechsel Fehler: das genannte Plugin abschalten, nicht zurück auf die alte Reihe.
- Zusätzlich prüfen, ob im Adminbereich fremde Benutzer aufgetaucht sind oder Besucher aus Google umgeleitet werden. Das sind typische Spuren eines Angriffs, der schon stattgefunden hat.
Wenn Sie beim Ablesen unsicher sind oder nach dem Umstellen etwas nicht mehr geht, schreiben Sie uns kurz. Oft reicht ein Blick in den Website-Zustand, um zu sagen, ob bei Ihnen Handlungsbedarf besteht.
Meine Website läuft mit PHP 8.1. Bin ich jetzt ungeschützt?
Vom PHP-Projekt gibt es für 8.1 kein Update mehr. Manche Hoster bauen die Korrektur trotzdem selbst ein, verlassen sollten Sie sich darauf nicht. Fragen Sie beim Hoster nach und wechseln Sie auf 8.3 oder 8.4, sobald Theme und Plugins das vertragen.
Reicht es, wenn mein Hoster die Lücke schließt?
Ja, wenn er das für die Reihe tut, die bei Ihnen eingestellt ist. Prüfen Sie die genaue Nummer im Website-Zustand. Steht dort noch eine ältere Nummer als 8.2.35, 8.3.36, 8.4.27 oder 8.5.12, ist das Update bei Ihnen noch nicht angekommen.
Schützt mich ein Sicherheits-Plugin für WordPress?
Nein. Die Lücke liegt unterhalb von WordPress, in PHP selbst. Ein Plugin kann einzelne Angriffe erschweren, die Ursache beheben kann es nicht. Das kann nur das Update.
