WordPress läuft auf PHP, und die PHP-Version entscheidet darüber, ob Ihre Website noch Sicherheitsupdates bekommt. Im Oktober 2026 wurden in PHP zwei kritische Sicherheitslücken gefunden, die sich nur durch ein Update von PHP schließen ließen. Ein WordPress-Update half nicht. In dieser Anleitung erfahren Sie, wie Sie die PHP-Version in wenigen Minuten prüfen, welche Version sicher ist und wie Sie das Update so durchführen, dass die Website nicht kaputtgeht.
PHP2Shell: Warum die PHP-Version jetzt wichtig ist
Am 21.10.2026 hat PHP Korrekturen für zwei kritische Sicherheitslücken veröffentlicht (CVE-2026-109618 und CVE-2026-109619), die unter dem Namen PHP2Shell bekannt sind. Beide sind mit 9,2/10 bewertet (CVSS 4.0). Im schlimmsten Fall kann ein Angreifer ohne Anmeldung eigene Befehle auf dem Server ausführen. Bei Apache-Installationen mit mod_php kann der Angriff sogar starten, bevor überhaupt WordPress-Code ausgeführt wird.
Betroffen sind in jedem PHP-Zweig alle Versionen vor der korrigierten Version: 8.2.35, 8.3.36, 8.4.27 und 8.5.12. PHP 8.1 und ältere Versionen bekommen vom PHP-Projekt keine Updates mehr. Am 23.10. meldete PHP noch eine dritte Sicherheitslücke (CVE-2026-115560), die sich nur mit einer seltenen Kombination aus Einstellungen und Anwendungscode ausnutzen lässt. Sie wird mit dem nächsten regulären Release behoben.
Laut dem finnischen Zentrum für Cybersicherheit (NCSC-FI) war am 21.10. keine aktive Ausnutzung der Lücken bekannt. Funktionierender Beispielcode existierte aber bereits, die Lage kann sich also schnell ändern.
PHP erhält mehrmals im Jahr Sicherheitsupdates, aber nur für unterstützte Versionszweige. Jeder Zweig wird etwa vier Jahre lang gepflegt, danach gefundene Lücken bleiben offen. Prüfen Sie die PHP-Version deshalb regelmäßig und nicht erst, wenn eine Sicherheitslücke in den Nachrichten ist.
So prüfen Sie die PHP-Version
Im WordPress-Adminbereich
- Melden Sie sich als Administrator bei WordPress an.
- Wählen Sie im linken Menü Werkzeuge → Website-Zustand (im englischsprachigen WordPress: Tools → Site Health).
- Öffnen Sie den Tab Bericht (Info) und dort den Abschnitt Server.
- In der Zeile PHP-Version steht die genaue Versionsnummer, zum Beispiel 8.3.36.
Achten Sie auf die vollständige Nummer. Der Zweig (8.3) zeigt, ob die Version noch unterstützt wird, die letzte Zahl (36), ob die neueste Korrektur installiert ist. Ist die Version veraltet, zeigt WordPress im Dashboard außerdem die Warnung PHP-Aktualisierung erforderlich. Warten Sie aber nicht auf diese Warnung, sondern prüfen Sie die Nummer selbst.
Im Verwaltungsbereich Ihres Hosters
Bei den meisten Hostern können Sie die PHP-Version im Verwaltungsbereich sehen und ändern. In cPanel heißt der Punkt meist MultiPHP Manager oder Select PHP Version, in Plesk finden Sie ihn in den PHP-Einstellungen der jeweiligen Domain. Wenn Sie ihn nicht finden, fragen Sie Ihren Hoster, welche PHP-Version Ihre Website nutzt und ob die Korrektur vom Oktober 2026 installiert ist.
Auf dem Server (für Administratoren)
Auf einem eigenen Server zeigt der Befehl php -v die Version des Kommandozeilen-PHP. Die Website läuft aber nicht unbedingt mit demselben PHP, denn der Webserver kann über PHP-FPM oder das Apache-Modul eine andere Version nutzen. Am zuverlässigsten ist die Angabe unter Website-Zustand in WordPress.
Linux-Distributionen wie Debian, Ubuntu und Red Hat übernehmen Korrekturen oft in ihre eigenen Pakete, ohne die Versionsnummer zu ändern. Die Nummer kann also alt aussehen, obwohl die Korrektur installiert ist. Prüfen Sie dann im Changelog des Pakets, ob dort die CVE-Nummern genannt werden.
Welche PHP-Version ist sicher?
Eine sichere Version erfüllt zwei Bedingungen: Der Versionszweig erhält noch Sicherheitsupdates, und auf dem Server ist das neueste Patch-Release dieses Zweigs installiert. Im Oktober 2026 sieht es so aus:
| PHP-Zweig | Sicherheitssupport endet | PHP2Shell behoben in Version |
|---|---|---|
| 8.5 | 31.12.2029 | 8.5.12 |
| 8.4 | 31.12.2028 | 8.4.27 |
| 8.3 | 31.12.2027 | 8.3.36 |
| 8.2 | 31.12.2026 | 8.2.35 |
| 8.1 und älter | beendet (8.1: 31.12.2025, 7.4: 28.11.2022) | kein offizielles Release |
WordPress empfiehlt PHP 8.3 oder neuer. Es läuft zwar noch mit PHP 7.4, aber wordpress.org warnt, dass eine veraltete Version die Website Sicherheitsproblemen aussetzen kann. Der Support für PHP 8.2 endet Ende 2026. Wenn Ihre Website diese Version nutzt, planen Sie den Umstieg auf 8.3 oder 8.4 schon jetzt.
Für die Versionen 7.4, 8.0 und 8.1 hat das PHP-Sicherheitsteam die PHP2Shell-Korrektur nur als Quellcode veröffentlicht, für alle, die PHP selbst kompilieren. Manche Linux-Distributionen und Hoster bauen für alte Versionen eigene korrigierte Pakete. Die dauerhafte Lösung ist trotzdem der Umstieg auf eine unterstützte Version.
So aktualisieren Sie PHP
Beim Webhosting
Korrekturen innerhalb desselben Zweigs (zum Beispiel 8.3.35 → 8.3.36) installiert beim Webhosting meist der Anbieter. Den Wechsel des Zweigs (zum Beispiel 8.1 → 8.3) nehmen Sie in der Regel selbst im Verwaltungsbereich vor. So gehen Sie vor:
- Erstellen Sie ein Backup der Dateien und der Datenbank. Bei vielen Hostern geht das im Verwaltungsbereich.
- Aktualisieren Sie WordPress, Themes und Plugins. Ein veraltetes Plugin oder Theme ist ein häufiger Grund dafür, dass eine Website beim PHP-Update kaputtgeht.
- Testen Sie zuerst in einer Kopie, wenn Ihr Hoster eine Testumgebung (Staging) anbietet.
- Wechseln Sie die PHP-Version im Verwaltungsbereich.
- Gehen Sie die Website durch: Startseite, Formulare, Kasse des Onlineshops und Adminbereich. Prüfen Sie unter Website-Zustand, ob die neue Version aktiv ist.
Wenn etwas kaputtgeht, wechseln Sie vorübergehend zur vorherigen Version zurück, reparieren oder ersetzen Sie das problematische Plugin und versuchen Sie es erneut. Bei der alten Version sollten Sie nicht bleiben.
Auf dem eigenen Server
- Installieren Sie die aktualisierten PHP-Pakete Ihrer Distribution (zum Beispiel
apt upgradeoderdnf upgrade) oder kompilieren Sie die korrigierte Version. - Starten Sie PHP-FPM, Apache und alle anderen Prozesse neu, die PHP ausführen, zum Beispiel Hintergrundjobs. Erst danach wirkt die Korrektur.
- Läuft die Website in einem Container, bauen Sie ein neues Image mit dem korrigierten PHP und setzen Sie es ein.
- Prüfen Sie zum Schluss die Version unter Website-Zustand.
Wenn das Update nicht sofort möglich ist
Laut PHP ist ein Update die einzige vollständige Lösung. Verzögert es sich, kann der Serveradministrator das Risiko mit Einstellungen senken, die PHP in seinen Sicherheitshinweisen empfiehlt. Beim Webhosting entscheidet über diese Einstellungen meist der Anbieter.
session.upload_progress.enabled=0blockiert die bestätigten Angriffswege für CVE-2026-109619 und CVE-2026-115560. PHP empfiehlt, die Funktion auch nach dem Update ausgeschaltet zu lassen, wenn sie nicht gebraucht wird.- In PHP 8.5 beseitigt
fatal_error_backtraces=0einen zweiten bestätigten Angriffsweg.
Keine der beiden Einstellungen schützt vor CVE-2026-109618. Die Einstellungen verschaffen Zeit, ersetzen aber nicht das Update.
Häufige Fragen
Aktualisiert WordPress PHP automatisch?
Nein. WordPress aktualisiert sich selbst, aber PHP ist Serversoftware, die der Hoster oder der Serveradministrator aktualisiert. Deshalb behebt ein WordPress-Update die PHP2Shell-Lücken nicht.
Welche PHP-Version sollte ich für WordPress wählen?
WordPress empfiehlt PHP 8.3 oder neuer. Im Oktober 2026 sind 8.3 und 8.4 eine gute Wahl, sofern die neueste Korrektur installiert ist und Ihre Plugins die Version unterstützen.
Macht ein PHP-Update die Website kaputt?
Ein Patch-Release innerhalb desselben Zweigs, etwa 8.3.35 → 8.3.36, macht selten etwas kaputt. Ein Wechsel des Zweigs kann ein altes Plugin oder Theme lahmlegen. Erstellen Sie deshalb ein Backup und testen Sie zuerst.
Ist PHP 7.4 noch sicher?
Nein. Der Sicherheitssupport endete am 28.11.2022. WordPress läuft zwar noch mit 7.4, aber wordpress.org warnt, dass eine veraltete Version die Website Sicherheitsproblemen aussetzen kann.
Woher weiß ich, ob mein Hoster die PHP2Shell-Korrektur installiert hat?
Sehen Sie unter Website-Zustand die vollständige PHP-Versionsnummer nach und vergleichen Sie sie mit der Tabelle oben. Ist die Nummer niedriger, fragen Sie Ihren Hoster, ob die Korrektur in seinem Paket enthalten ist.
Wenn ein PHP-Update ein Plugin lahmlegt oder Sie jemanden für die Wartung Ihrer Website brauchen, kontaktieren Sie uns. Wir helfen bei Updates von WordPress- und PHP-Anwendungen.
Quellen
- Finnisches Zentrum für Cybersicherheit (NCSC-FI): Kriittisiä haavoittuvuuksia PHP:ssa (37/2026) (auf Finnisch)
- PHP: Security advisory: Critical remote code execution vulnerabilities, update now (auf Englisch)
- PHP: RCE via OOM corruption, CVE-2026-109618 (auf Englisch)
- PHP: RCE via stale global state, CVE-2026-109619 (auf Englisch)
- PHP: unterstützte Versionen (auf Englisch)
- WordPress: Anforderungen (auf Englisch)
