PHP-Sicherheitslücke im Oktober 2026: Was WordPress-Betreiber jetzt tun solltenPHP-Lücke und WordPress

Das PHP-Team hat zwei Schwachstellen geschlossen, die Sicherheitsdienstleister wie Patchstack und mehrere Fachmedien als kritisch einstufen. Die Bewertung liegt jeweils bei 9,2 von 10 Punkten. Gemeint ist sogenannte Remote Code Execution: Ein Angreifer kann über das Internet Befehle auf deinem Server ausführen, ohne sich anmelden zu müssen.

Laut ersten Berichten von Hostern und Sicherheitsfirmen laufen bereits automatisierte Scans, die gezielt nach ungepatchten Websites suchen. Bei solchen Lücken vergehen zwischen Veröffentlichung und ersten Angriffen oft nur Stunden.

Geschlossen sind die Lücken laut Ankündigung in den PHP-Versionen 8.5.12, 8.4.27, 8.3.36 und 8.2.35. Ältere PHP-Versionen, die keine Updates mehr bekommen, bleiben offen.

Betroffen ist jede Website, deren Server PHP in einer verwundbaren Version ausführt. Das sind vor allem:

Ob deine Seite geschützt ist, entscheidet nicht WordPress, sondern dein Server. Erst wenn dein Hoster PHP aktualisiert hat, ist die Lücke geschlossen. Das solltest du nicht vermuten, sondern nachfragen.

Diese Schritte kannst du heute erledigen, auch ohne Agentur:

WordPress ist nicht schlecht programmiert. Das Problem ist das Prinzip: Bei jedem Seitenaufruf baut der Server die Seite neu zusammen, mit PHP, einer Datenbank und oft dutzenden Plugins von verschiedenen Anbietern. Jede dieser Komponenten ist eine mögliche Tür.

Dazu kommt die Verbreitung. Weil so viele Websites auf WordPress laufen, lohnt es sich für Angreifer, Lücken automatisiert im großen Stil auszunutzen. Schon im Juli 2026 hat das BSI vor den Schwachstellen mit dem Namen „wp2shell“ gewarnt, die laut Sicherheitsfirmen massenhaft ausgenutzt wurden.

Und schließlich die Pflege: Viele Unternehmensseiten wurden einmal gebaut und danach kaum noch gewartet. Genau diese Seiten fallen bei einer neuen Lücke als Erstes.

Die Websites, die wir bei MINDWEBMEDIA heute bauen und betreuen, laufen nicht auf WordPress. Wir programmieren sie individuell mit Next.js, einem modernen Framework auf Basis von JavaScript. PHP kommt dabei nicht vor. Von dieser Lücke sind sie deshalb nicht betroffen.

Der Unterschied liegt im Aufbau:

Eine Website ohne jedes Risiko gibt es nicht. Auch moderne Frameworks hatten schon kritische Lücken. Der Unterschied ist, wie groß die Angriffsfläche ist und wer sich verlässlich um die Updates kümmert.

Nicht jede WordPress-Seite muss sofort ersetzt werden. Ist sie gepflegt, aktuell und läuft bei einem zuverlässigen Hoster, reicht es, die Schritte oben abzuarbeiten.

Ein Wechsel lohnt sich vor allem, wenn mehrere Punkte zutreffen:

Wie ein Relaunch abläuft, ohne dass Rankings verloren gehen, zeigt unsere Website-Relaunch-Checkliste. Wie wir Websites bauen, findest du unter Webdesign.

Grundlage dieses Artikels sind die Sicherheitswarnung von Patchstack zur PHP-Lücke, die Berichterstattung von Fachmedien wie IT-Administrator und Windows-FAQ vom 21. Oktober 2026 sowie die Cybersicherheitswarnung des BSI zu den WordPress-Schwachstellen vom Juli 2026. Wir aktualisieren den Artikel, sobald neue Informationen vorliegen.