Bestandsaufnahme
Welche PHP-Version läuft wirklich, welches Hosting steckt dahinter, welche WordPress-Version, welche Plugins und Themes sind installiert. Das Ergebnis bekommst du als kurze, verständliche Liste.
Stand 22. Oktober 2026 · PHP2Shell, CVE-2026-109618 und -109619
PHP-Sicherheitslücke beheben: PHP und WordPress aktualisieren lassen
Am 21. Oktober 2026 hat das PHP-Projekt Updates für zwei kritische Lücken veröffentlicht. Sie betreffen PHP selbst und damit fast jede Website, die auf PHP läuft, auch die meisten WordPress-Seiten. Gelöst wird das auf dem Server, nicht im WordPress-Dashboard.
Ich bin Max Halbritter, Softwareentwickler in Donauwörth. Ich sehe mir deine Seite an, sage dir ehrlich, wie dringend es bei dir ist, und mache das Update, wenn du es nicht selbst machen willst.
Was passiert ist
Kurz und ohne Panik. Die Zahlen stammen vom PHP-Projekt, vom BSI und von der US-Behörde CISA. Die Quellen stehen unten auf der Seite.
- Zwei Lücken
- CVSS 9,2CVE-2026-109618 und CVE-2026-109619, beide „kritisch“ bewertet. Für einen Angriff braucht es weder Konto noch Passwort.
- Das Update gibt es
- 21.10.2026PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35 schließen beide Lücken.
- Betroffen
- Fast alles mit PHPAlle PHP-Installationen, die Webanfragen bedienen: PHP-FPM, Apache mit mod_php, php-cgi, FrankenPHP, LiteSpeed. Am höchsten schätzt das PHP-Team das Risiko bei mod_php ein.
- Angriffsversuche
- Seit 17.10.Amazon meldet den ersten Versuch vier Tage vor dem Patch, danach massenhaft Scans. Laut watchTowr erreicht bisher keiner der kursierenden Exploits Codeausführung. Das kann sich schnell ändern.
Bin ich betroffen? In 2 Minuten prüfen
Die Lücken liegen in PHP und nicht in WordPress. Entscheidend ist deshalb die PHP-Version auf deinem Server. In WordPress findest du sie unter Werkzeuge → Website-Zustand → Info → Server. Viele Hoster zeigen sie auch im Kundenmenü.
| Deine PHP-Version | Stand | Was zu tun ist |
|---|---|---|
| PHP 8.5 | Sicher ab 8.5.12 | Auf mindestens 8.5.12 aktualisieren |
| PHP 8.4 | Sicher ab 8.4.27 | Auf mindestens 8.4.27 aktualisieren |
| PHP 8.3 | Sicher ab 8.3.36 | Auf mindestens 8.3.36 aktualisieren |
| PHP 8.2 | Sicher ab 8.2.35 | Aktualisieren. Der Sicherheitssupport endet am 31.12.2026, deshalb am besten gleich auf 8.4 oder 8.5 |
| PHP 8.1 und älter | Keine offizielle Version mehr | Auf eine unterstützte Version umsteigen. Nur manche Hoster und Linux-Distributionen liefern die Korrektur für alte Versionen selbst nach |
Manche Hoster haben die Korrektur eingespielt, ohne die Versionsnummer zu ändern, und viele haben Schutzregeln vorgeschaltet. Das hilft, ersetzt aber das Update nicht. Frag im Zweifel dort nach, ob das Update eingespielt ist. Oder lass mich nachsehen.
Was ich für dich mache
PHP aktualisieren, WordPress mitziehen, Seite absichern und auf Wunsch dauerhaft betreuen. Es geht um WordPress genauso wie um Joomla, TYPO3, Shopware oder eine selbst programmierte PHP-Anwendung.
PHP aktualisieren
Je nach Hosting stelle ich die Version im Kundenmenü um, bitte den Hoster um das Update oder spiele es auf deinem Server selbst ein. Danach werden die PHP-Prozesse neu gestartet — erst dann greift die Korrektur.
WordPress, Plugins und Themes mitziehen
Kern, Plugins und Themes auf einen Stand bringen, der zur neuen PHP-Version passt. Alte Erweiterungen, die auf aktuellem PHP nicht mehr laufen, ersetze ich oder spreche den Ersatz mit dir ab. Vorher gibt es ein Backup, nachher einen Funktionstest von Formularen, Shop und Login.
Sichtprüfung auf Auffälligkeiten
Ich schaue nach PHP-Dateien, die niemand angelegt hat, nach unbekannten Administratoren und Cron-Jobs. Das ist eine Prüfung, keine Forensik. Bei begründetem Verdacht auf einen Einbruch sage ich dir das offen und ziehe bei Bedarf Spezialisten dazu.
Absichern
Passwörter und Schlüssel erneuern (Datenbank, WordPress-Admins, API-Zugänge), Admin-Login mit Zwei-Faktor schützen, Dateirechte und unnötige Plugins aufräumen, Backups auf Wiederherstellbarkeit prüfen.
Laufende Wartung (optional)
Regelmäßige Updates für PHP, WordPress und Plugins, Backups und Überwachung. Umfang und Preis stehen vorher schwarz auf weiß im Angebot.
So läuft das ab
- 1
Erstgespräch
Kostenlos und unverbindlich. Du schilderst, was du hast, ich sage dir ehrlich, wie dringend es bei dir ist — auch wenn die Antwort lautet: Dein Hoster hat es schon erledigt.
- 2
Prüfung und Angebot
Ich sehe mir die Seite an und schicke dir ein schriftliches Angebot mit festem Preis, bevor ich etwas ändere.
- 3
Umsetzung
Backup, Update, Test. Wenn etwas nach dem Update nicht mehr läuft, ist der Weg zurück vorbereitet.
- 4
Übergabe
Du bekommst eine kurze Zusammenfassung: was war, was ist jetzt, was bleibt offen. Auf Wunsch geht es in die laufende Wartung über.
Was ich dir nicht verspreche
Eine hundertprozentig sichere Website gibt es nicht, und wer das zusagt, verkauft dir etwas. Das Update schließt diese zwei Lücken. Es sagt nichts darüber, ob jemand vorher schon auf deinem Server war. Auch das BSI nennt bisher keine verbindlichen Erkennungsmerkmale für einen erfolgten Angriff. Und wenn dein Hoster PHP bereits aktualisiert hat, brauchst du für diesen Punkt keine Hilfe von mir — dann bleiben Plugin-Kompatibilität, Zugangsdaten und die Frage, ob alles andere auf dem Stand ist.
Warum MH Software
- Ein fester AnsprechpartnerDu sprichst mit mir, nicht mit einem Ticketsystem. Ich baue und betreibe Websites, Apps und Server für Unternehmen und Vereine, zum Beispiel die Taxi-Plattformen unter Referenzen.
- Schriftliches Angebot vorabDu weißt vor dem ersten Eingriff, was es kostet. Es gibt kein Abo, das du nicht bestellt hast.
- Echte Projekte statt VersprechenWas ich gebaut habe und wie es läuft, kannst du dir ansehen: meine Referenzen. Hosting bei mir liegt auf Servern in Deutschland.
Fragen & Antworten
Fragen zur PHP-Sicherheitslücke und zum Update
Sehr wahrscheinlich ja, wenn sie auf einer PHP-Version läuft, die noch nicht auf 8.5.12, 8.4.27, 8.3.36 oder 8.2.35 (oder neuer) steht. Die Lücken liegen in PHP selbst, nicht in WordPress. Die PHP-Version findest du in WordPress unter Werkzeuge > Website-Zustand > Info > Server. Manche Hoster haben die Korrektur in ihre Pakete übernommen, ohne die Versionsnummer zu ändern. Im Zweifel fragst du dort nach oder lässt mich nachsehen.
Quellen, Stand 22. Oktober 2026
Alles Technische auf dieser Seite beruht auf diesen Veröffentlichungen. Die Lage ändert sich schnell. Wenn die Seite hier und die Meldungen des PHP-Projekts voneinander abweichen, gilt das PHP-Projekt.
- PHP-Projekt: Security advisory (php.net)Fixversionen, betroffene Server-Varianten, Zwischenlösungen
- WordPress.org: Critical PHP Security ReleaseEinordnung für WordPress, PHP-Version in Website-Zustand prüfen
- BSI: Cybersicherheitswarnung zu PHPKritikalität 3 / Orange, Hinweise zu WAF und Containern
- CISA: Critical Vulnerabilities in PHP Require Immediate PatchingEmpfehlung der US-Behörde, auch zu PHP 8.1 und älter
- heise online: php2shell – Kritische Sicherheitslücken in PHPTechnische Einordnung auf Deutsch
- SecurityWeek: PHP2Shell Exploitation Started Days Before PatchesBeobachtete Angriffsversuche (Amazon, Cloudflare, watchTowr)
- php.net: Supported VersionsSupport-Enden der PHP-Versionen
Lass uns kurz über deine Seite sprechen
In 30 Minuten klären wir, auf welcher PHP-Version du bist, ob Handlungsbedarf besteht und was es kosten würde. Kostenlos und unverbindlich, und wenn dein Hoster alles erledigt hat, sage ich dir das.