WordPress PHP Version prüfen: Was die kritische PHP-Lücke vom Oktober 2026 bedeutet

Die wichtigsten Begriffe, einfach erklärt

• PHP: eine Programmiersprache, die auf dem Server läuft. Sie baut jede WordPress-Seite zusammen, bevor sie im Browser ankommt. Man kann sie sich wie den Motor eines Autos vorstellen: WordPress ist die Karosserie, PHP der Motor darunter.
• Hoster: die Firma, bei der deine Website liegt, zum Beispiel ein Webhosting-Paket. Bei den meisten kleinen Unternehmen kümmert sich der Hoster um PHP, nicht du.
• Sicherheitslücke mit Codeausführung: Ein Fehler, über den ein Angreifer eigene Befehle auf dem Server laufen lassen kann. Das ist die schlimmste Art von Lücke, weil er damit im Grunde die Website übernehmen kann.
• PHP-Version: die Nummer der PHP-Ausgabe, zum Beispiel 8.3.36. Die erste Zahl ist die große Version, die letzte zeigt, wie aktuell die Sicherheitskorrekturen sind.
• Statuscode 503: eine kurze Antwort des Servers an Browser und Suchmaschinen, die bedeutet: „Gerade nicht erreichbar, komm später wieder.“

Ist WordPress selbst betroffen?

Nein, und genau das ist der Punkt, der viele verwirrt. WordPress hat am 21. Oktober 2026 eine eigene Meldung veröffentlicht. Darin steht klar, dass die Lücken nicht WordPress betreffen, sondern jeden Server mit PHP.

Was zeigt der Screenshot? Die offizielle Meldung des WordPress-Projekts vom 21. Oktober 2026. Im roten Rahmen steht: Die Lücken sind nicht WordPress-spezifisch und betreffen jeden Server, der eine PHP-Anwendung ausführt. Ein WordPress-Update ist dafür weder nötig noch geplant. Darunter steht, dass PHP-Versionen vor 8.2 keine Sicherheitsupdates mehr bekommen, und der Rat nationaler Sicherheitsbehörden, einen Server notfalls vom Netz zu nehmen. Für dich heißt das: Dein Update-Knopf in WordPress löst das Problem nicht. Es geht um den Server.

Was am 21. Oktober 2026 passiert ist

Am 20. Oktober hat das PHP-Team auf php.net eine Vorwarnung veröffentlicht: Am nächsten Tag um 14:00 Uhr Weltzeit (16:00 Uhr deutscher Zeit) komme ein Sicherheitsupdate für zwei kritische Lücken. Beide sind dort mit 9,2 von 10 Punkten auf der üblichen Bewertungsskala für Sicherheitslücken eingestuft. Am 21. Oktober 2026 erschienen dann die korrigierten Versionen.

Laut der Sicherheitswarnung auf php.net können beide Lücken dazu führen, dass jemand ohne Anmeldung Code auf dem Server ausführt. Betroffen sind alle PHP-Installationen, die Webseiten ausliefern, egal wie PHP auf dem Server eingebunden ist. Am größten ist das Risiko laut PHP-Team bei einer bestimmten Einbindung in den Apache-Webserver (mod_php). Dort sei ein Angriff gezeigt worden, bei dem eine einzige Anfrage ohne Anmeldung genügt, noch bevor WordPress oder ein anderes Programm überhaupt startet.

Das Sicherheitsunternehmen Sansec nennt die Lücken „PHP2Shell“. Laut Sansec haben die Forscher den Angriff unter anderem bei WordPress 7.1.2, Drupal, Joomla und Magento bestätigt. Sansec schreibt außerdem, Cloudflare habe erste Angriffe schon am Morgen des 21. Oktober beobachtet, also vor der Veröffentlichung der Korrektur. Das Computer-Notfallteam der EU-Institutionen (CERT-EU) meldet, dass erste Beispielangriffe im Umlauf sind, und rät, sofort zu aktualisieren.

WordPress PHP Version prüfen: so geht es

Bevor du deinen Hoster anschreibst, schau nach, welche PHP-Version deine Website gerade nutzt. Das dauert eine Minute. Du brauchst dafür einen Administrator-Zugang zu WordPress.

Was zeigt der Screenshot? Die offizielle WordPress-Anleitung „Update PHP“. Im roten Rahmen steht der Weg zur PHP-Version: im Dashboard Werkzeuge, Website-Zustand, dann der Reiter mit den Informationen und dort der Bereich Server. In der deutschen WordPress-Oberfläche heißt der Reiter „Bericht“. Darunter steht, dass WordPress derzeit mindestens PHP 8.3 empfiehlt. Für dich heißt das: Liegt deine Version darunter, solltest du ohnehin wechseln, nicht nur wegen dieser Lücke.

Viele Hoster zeigen die PHP-Version auch in ihrem Kundenbereich an, meist unter einem Punkt wie „PHP-Einstellungen“. Wenn du dort selbst die Version wechseln kannst, wähle eine aktuelle Version, die dein Hoster anbietet.

Welche PHP-Versionen sind jetzt sicher?

Laut php.net schließen diese Versionen die beiden Lücken: 8.5.12, 8.4.27, 8.3.36 und 8.2.35. Steht bei dir genau eine dieser Nummern oder eine höhere aus derselben Reihe, ist die Korrektur drin.

Es gibt aber einen Haken: Große Hoster und Linux-Anbieter bekamen die Korrekturen laut php.net vorab und bauen sie oft in ihre eigenen Pakete ein. Dann kann die angezeigte Nummer älter aussehen, obwohl die Lücke geschlossen ist. Die Nummer allein ist also kein sicherer Beweis. Deshalb lohnt sich die kurze Nachfrage beim Hoster immer.

Unabhängig von der aktuellen Lücke lohnt ein Blick auf die Empfehlung von WordPress selbst. Sie liegt höher als das, was viele Websites heute nutzen.

Was zeigt der Screenshot? Die offizielle Seite mit den Anforderungen von WordPress. Im roten Rahmen steht die Empfehlung: PHP-Version 8.3 oder neuer. Weiter unten steht, dass WordPress zwar auch noch mit PHP 7.4 läuft, diese alten Versionen aber keine offizielle Pflege mehr bekommen und die Website Sicherheitslücken aussetzen können. Für dich heißt das: Wer jetzt ohnehin mit dem Hoster spricht, kann den Wechsel auf 8.3 oder neuer gleich mit klären.

Was du deinem Hoster schreiben solltest

Laut WordPress arbeiten viele Hoster bereits an Updates und an Schutzregeln für ihre Firewall. Verlassen würde ich mich darauf nicht, sondern kurz nachfragen. Eine Nachricht an den Support kann so aussehen:

Läuft deine Website noch mit PHP 8.1 oder älter, reicht ein kleines Update nicht. Dann muss die Website auf eine neuere Version umziehen. Vorher solltest du laut WordPress eine Sicherung anlegen sowie WordPress, Theme und Plugins aktualisieren, weil alte Plugins mit neuen PHP-Versionen manchmal nicht funktionieren. Wie du die Website dabei insgesamt sicherer machst, steht in meiner Checkliste zur Website-Sicherheit.

Website kurz offline nehmen: Was passiert mit Google?

WordPress zitiert in seiner Meldung das britische National Cyber Security Centre: Wo eine sofortige Korrektur nicht möglich ist, sollte man das System vom Netz nehmen, bis es abgesichert ist. Das gilt vor allem für alle, die ihren Server selbst betreiben und eine alte PHP-Version nutzen. Viele fragen sich dann, ob das die Google-Rankings kostet.

Was zeigt der Screenshot? Googles Dokumentation für Website-Betreiber, Stand 6. März 2026. Im roten Rahmen steht: Bei Serverfehlern wie 503 verlangsamt Google das Crawling vorübergehend. Bereits indexierte Seiten bleiben vorerst im Index, werden aber schließlich entfernt, wenn der Fehler dauerhaft bleibt. Sobald der Server wieder normal antwortet, crawlt Google nach und nach wieder häufiger. Für dich heißt das: Ein paar Stunden Wartung mit einer sauberen 503-Seite sind für Google kein Drama. Eine gehackte Website ist es schon.

Wichtig ist der richtige Code. Eine Wartungsseite, die mit „200 OK“ antwortet, würde Google als normale Seite mit wenig Inhalt sehen. Viele Wartungs-Plugins für WordPress senden die 503 von selbst. Prüfen kannst du das mit dem URL-Prüftool in der Search Console oder einem einfachen Header-Prüfer im Browser.

Warum das wichtig ist, zeigt Googles eigene Hilfe zum Bericht „Sicherheitsprobleme“ in der Search Console.

Was zeigt der Screenshot? Die Search Console-Hilfe von Google zum Bericht „Sicherheitsprobleme“. Im roten Rahmen steht: Seiten oder Websites mit einem Sicherheitsproblem können in den Suchergebnissen mit einem Warnhinweis erscheinen, und der Browser kann vor dem Besuch eine Warnseite einblenden. Für dich heißt das: Eine gehackte Website kostet nicht nur Daten, sondern auch Vertrauen und Anfragen. Ein Blick in diesen Bericht nach dem Update dauert eine Minute.

Meine Faustregel für kleine Unternehmen

Das ist meine Einschätzung, keine offizielle Vorgabe: Hast du ein normales Hosting-Paket, schreib deinem Hoster heute und lass dir die aktualisierte PHP-Version bestätigen. Zeigt deine Website PHP 8.2 oder älter, plane jetzt den Wechsel auf mindestens 8.3, denn 8.2 bekommt laut php.net nur noch bis zum 31. Dezember 2026 Sicherheitsupdates. Betreibst du einen eigenen Server und kannst nicht sofort aktualisieren, nimm ihn mit einer 503-Wartungsseite vom Netz, bis die Korrektur drin ist.

Die vom PHP-Team genannten Notlösungen über Einstellungen in der PHP-Konfiguration sind laut php.net ausdrücklich kein vollständiger Schutz. Sie sind etwas für Server-Fachleute, die ein paar Stunden überbrücken müssen, nicht für den Website-Betreiber im Hosting-Paket.

Wenn du nicht sicher bist, ob deine Website betroffen ist, oder der Umzug auf eine neue PHP-Version ansteht, unterstütze ich dich gern. Mehr dazu findest du unter Webdesign.

Häufige Fragen zur PHP-Sicherheitslücke und zur WordPress PHP Version

Fazit

Die PHP-Lücken vom Oktober 2026 gehören zu den ernsten Fällen: Angriffe ohne Anmeldung, erste Beispielangriffe im Umlauf, und betroffen ist praktisch jeder Server mit PHP. Für die meisten kleinen Unternehmen ist die Lösung trotzdem einfach: PHP-Version in WordPress nachsehen, den Hoster um Bestätigung bitten und bei PHP 8.2 oder älter den Wechsel auf eine aktuelle Version planen. WordPress selbst musst du dafür nicht anfassen.

Quellen

• php.net: Security advisory und Vorankündigung vom 20. und 21.10.2026, abgerufen am 22.10.2026 (englisch)
• php.net: Supported Versions, abgerufen am 22.10.2026 (englisch)
• WordPress.org News: Critical PHP Security Release, 21.10.2026 (englisch)
• WordPress.org Support: Update PHP, abgerufen am 22.10.2026 (englisch)
• CERT-EU: Security Advisory 2026-018, Critical Vulnerabilities in PHP, 21.10.2026 (englisch)
• Sansec: PHP2Shell, 21.10.2026 (englisch)
• Google Search Central: HTTP-Statuscodes und Netzwerkfehler, Stand 06.03.2026
• Search Console-Hilfe: Bericht „Sicherheitsprobleme“, abgerufen am 22.10.2026
• WordPress.org: Requirements, abgerufen am 22.10.2026 (englisch)