Dein Hoster meldet eine kritische PHP-Sicherheitslücke oder deine Website war plötzlich nicht erreichbar? Dann brauchst du jetzt eine konkrete Auskunft: Wurde die PHP-Installation, die deine Website ausführt, bereits mit dem passenden Sicherheitsupdate versorgt? Hier ordne ich für dich ein, was PHP2Shell für deine WordPress-Website bedeutet und welche Schritte jetzt sinnvoll sind.
Beitragsdatum: · Stand: 22. Oktober 2026 · Von Manuel Zenau, smarte pixel.
Direkt zu Manuel · auch am Wochenende
Unsicher, ob deine Website betroffen ist?
Du brauchst kein Technikwissen und musst deine PHP-Version nicht kennen. Schreib mir einfach die Adresse deiner Website oder ruf mich an. Gemeinsam klären wir schnell und unkompliziert, ob Handlungsbedarf besteht und welcher nächste Schritt sinnvoll ist.
Erstkontakt kostenlos und unverbindlich. Kostenpflichtige Arbeiten nur nach Absprache.
Dein erster Schritt: Patchstatus beim Hoster klären.
Frage ausdrücklich nach CVE-2026-109618 und CVE-2026-109619. Lass bestätigen, dass die Korrekturen auf deinem Hosting aktiv sind. Ein aktuelles WordPress allein beantwortet diese Frage nicht.
PHP2Shell betrifft die Technik hinter deiner Website
PHP führt auf dem Server einen großen Teil des WordPress-Codes aus. Die aktuellen Schwachstellen liegen in dieser Laufzeitumgebung. Unter passenden Bedingungen können Angreifer darüber ohne Anmeldung eigenen Code mit den Rechten des PHP-Prozesses ausführen. Wie ein Angriff möglich ist, hängt unter anderem von der Serverkonfiguration und der Anwendung ab. Die technischen Einzelheiten dokumentiert das PHP-Projekt in den Hinweisen zu CVE-2026-109618 und CVE-2026-109619.
Für dich heißt das: Auch eine gepflegte WordPress-Installation braucht eine korrigierte PHP-Umgebung. Aus der Sicherheitsmeldung lässt sich jedoch nicht ableiten, dass deine Website bereits angegriffen wurde. Das müsste bei einem konkreten Verdacht gesondert untersucht werden.
Welche PHP-Versionen enthalten die Sicherheitskorrekturen?
Das PHP-Projekt hat am 21. Oktober 2026 folgende Sicherheitsversionen veröffentlicht. Die Tabelle nennt die ersten korrigierten Versionen der aktuell unterstützten Reihen. Maßgeblich bleibt der jeweils aktuelle, vom Anbieter bestätigte Sicherheitsstand.
| PHP-Reihe | Korrigiert ab |
|---|---|
| PHP 8.2 | 8.2.35 |
| PHP 8.3 | 8.3.36 |
| PHP 8.4 | 8.4.27 |
| PHP 8.5 | 8.5.12 |
Ein Sicherheitsupdate innerhalb einer Reihe ist von einem größeren Versionswechsel zu unterscheiden. Wer PHP 8.3 verwendet, muss wegen dieser Meldung nicht automatisch sofort auf PHP 8.5 wechseln. Konfigurationsmaßnahmen können einzelne Angriffswege begrenzen; sie ersetzen laut offizieller PHP-Sicherheitsmeldung das vollständige Sicherheitsupdate nicht.
Die angezeigte PHP-Version allein sagt noch nicht, ob die Sicherheitskorrekturen installiert sind. Manche Hersteller übertragen die Korrekturen auf ältere Paketstände. Solche Rückübertragungen heißen Backports. Ubuntu nennt beispielsweise korrigierte Pakete innerhalb der PHP-8.1-Reihe. Entscheidend sind deshalb die genaue Paketversion und die Bestätigung des Anbieters. Aktualisierte Komponenten müssen außerdem tatsächlich von den laufenden Diensten verwendet werden. Das erläutert der Sicherheitshinweis von Ubuntu.
Was die Mittwald-Meldung für Website-Betreiber bedeutet
Mittwald berichtet in seinem Beitrag vom 22. Oktober, Websites auf der eigenen Plattform vorsorglich deaktiviert, Sicherheitsupdates eingespielt und anschließend wieder freigeschaltet zu haben. Projekte mit einer PHP-Version unter 5.6 bleiben nach dieser Mitteilung vorerst deaktiviert, weil Mittwald dafür keine passenden Patches bereitstellt. Das sind Angaben des Hosters zu seinem Vorgehen. Zum Mittwald-Beitrag.
Für eine gesperrte Website würde ich die nächsten Schritte direkt mit dem Hosting-Support abstimmen. Kläre, wie eine abgesicherte Umstellung möglich ist. Eine Warnung oder Sperre allein deshalb zu umgehen, damit die Website wieder erreichbar ist, löst das zugrunde liegende Problem nicht. Den aktuellen Plattformstatus veröffentlicht Mittwald auf seiner Statusseite.
Direkt zu Manuel · auch am Wochenende
Du musst das nicht allein herausfinden.
Eine kurze Frage ist völlig in Ordnung. Erzähl mir, was dich verunsichert – ich erkläre dir verständlich, was für deine Website jetzt wichtig ist. Ich bin auch am Wochenende erreichbar.
Erstkontakt kostenlos und unverbindlich. Kostenpflichtige Arbeiten nur nach Absprache.
Fünf Schritte für deine WordPress-Website
1. Notiere deinen Hoster und die PHP-Version
Notiere deine Domain, den Hosting-Anbieter und die betroffene Installation. Den angezeigten PHP-Stand findest du in WordPress unter Werkzeuge → Website-Zustand → Bericht → Server. Die WordPress-Anleitung zum PHP-Update beschreibt diesen Weg. Der Eintrag ist ein Ausgangspunkt; bei Backports brauchst du zusätzlich die Auskunft deines Hosters.
Denke auch an Subdomains, alte Testinstallationen und weitere Projekte im selben Hosting-Paket. Eine aktualisierte Hauptwebsite sagt noch nichts über diese zusätzlichen Installationen aus.
2. Eine konkrete Bestätigung vom Hoster einholen
Du kannst diese Anfrage verwenden:
„Bitte prüft für meine Domain [deine-domain.de], ob die Sicherheitskorrekturen für CVE-2026-109618 und CVE-2026-109619 bereits eingespielt und in der laufenden PHP-Umgebung aktiv sind. Welche Paketversion oder welcher bestätigte Backport wird eingesetzt? Muss ich für weitere Installationen oder einen Versionswechsel etwas veranlassen?“
Wenn der Patch noch fehlt, kläre die nächsten Schutzmaßnahmen unmittelbar mit dem Anbieter. Warte damit nicht auf einen späteren Relaunch oder einen regulären Wartungstermin.
3. Einen nötigen Versionswechsel kontrolliert vorbereiten
Muss deine Website auf eine andere PHP-Reihe wechseln, gehören eine Sicherung von Dateien und Datenbank sowie eine Kompatibilitätsprüfung dazu. Prüfe WordPress, Theme, Plugins und eigenen Code möglichst in einer geschützten Testumgebung. Diese Vorbereitung darf eine akute Sicherheitskorrektur nicht unnötig verzögern; stimme die Reihenfolge mit dem Hoster ab. Hinweise zu Sicherung und Kompatibilität findest du ebenfalls in der WordPress-Dokumentation.
4. Die wichtigen Abläufe testen
Für eine Firmenwebsite reicht der Blick auf die Startseite nicht aus. Kontrolliere Kontaktformular, E-Mail-Zustellung, Anmeldung und Terminbuchung. Bei einem Shop gehören zusätzlich Warenkorb, Zahlung und Bestellbestätigung dazu. Halte fest, was getestet wurde und welche Auffälligkeiten noch offen sind.
5. Auffälligkeiten gesondert untersuchen lassen
Ein eingespielter Patch beantwortet nicht automatisch, ob vorher etwas passiert ist. Unbekannte Administratoren, unerwartete Weiterleitungen oder fremde Inhalte sollten untersucht werden. Stimme mit dem Hoster ab, welche Protokolle und Sicherungen erhalten bleiben müssen, bevor Dateien bereinigt oder alte Sicherungen zurückgespielt werden.
Nach dem Patch: Den nächsten Versionswechsel rechtzeitig planen
Die aktuelle Lücke zu schließen und eine langfristig passende PHP-Version zu wählen, sind zwei zusammenhängende Aufgaben. PHP 8.2 erhält reguläre Sicherheitsunterstützung noch bis zum 31. Dezember 2026. Das geht aus der PHP-Supportübersicht hervor. Nutze den verbleibenden Zeitraum, um einen kompatiblen Wechsel vorzubereiten. Mehr dazu findest du auf meiner Seite zum PHP-8.2-Support-Ende.
Bezahlst du für eine ältere Version zusätzlich PHP Extended Support, lass dir den konkreten Schutzumfang und den aktuellen Patchstatus erklären. Die Vertragsposition allein ist keine Bestätigung für eine geschlossene Sicherheitslücke. Für die weitere Planung hilft dir mein Überblick zu PHP Extended Support.
Für die Vorbereitung findest du hier zwei ergänzende Ratgeber: PHP-Version in WordPress herausfinden zeigt dir den Weg zur aktuellen Versionsangabe. PHP-Update bei WordPress: Kosten und Ablauf erklärt die Planung einer betreuten Umstellung.
Du möchtest deine Website technisch einordnen lassen?
Ich bin Manuel Zenau von smarte pixel. aus Espelkamp. Ich unterstütze dich dabei, Hoster-Meldungen einzuordnen, die Kompatibilität deiner WordPress-Website zu prüfen und einen nötigen Versionswechsel mit passenden Funktionstests vorzubereiten. Die serverseitige Sicherheitskorrektur stimmen wir mit deinem Hosting-Anbieter ab.
Das Erstgespräch ist kostenlos. Eine gesondert beauftragte technische Bestandsaufnahme mit Handlungsempfehlung kostet 99 € netto; bei einem Folgeauftrag rechne ich diesen Betrag vollständig an. Ein PHP-Update einer Firmenwebsite beginnt nach Prüfung und Vereinbarung des Umfangs bei 349 € netto. Das Angebot richtet sich an Unternehmen und Selbstständige; alle Preise verstehen sich zuzüglich gesetzlicher Umsatzsteuer.
Den Ablauf findest du unter WordPress PHP-Update durchführen lassen. Für die weitere Pflege gibt es meine WordPress-Betreuung.
Direkt zu Manuel · auch am Wochenende
Eine kurze Nachricht reicht für den Anfang.
Die Adresse deiner Website reicht zum Einstieg. Eine Meldung deines Anbieters kannst du mitschicken, wenn du eine hast. Wenn ich gerade nicht ans Telefon gehe, schreib mir kurz per WhatsApp – ich melde mich, sobald ich kann.
Erstkontakt kostenlos und unverbindlich. Kostenpflichtige Arbeiten nur nach Absprache.