WordPress PHP-Version prüfen und aktualisieren: Was PHP2Shell gezeigt hat

WordPress-Updates spielen die meisten Website-Betreiber regelmäßig ein. Die PHP-Version, auf der WordPress läuft, gerät dagegen oft in Vergessenheit. Im Oktober 2026 hat sich gezeigt, warum das gefährlich ist: Zwei kritische Sicherheitslücken in PHP selbst, bekannt als „PHP2Shell“, machten weltweit Millionen Websites angreifbar, ganz unabhängig davon, wie aktuell WordPress und die Plugins waren.

Was war PHP2Shell?

Unter dem Namen PHP2Shell wurden die Schwachstellen CVE-2026-109618 und CVE-2026-109619 bekannt. Beide wurden mit 9,2 von 10 Punkten (CVSS) bewertet und konnten im schlimmsten Fall dazu führen, dass Angreifer eigenen Code auf dem Server ausführen. Das BSI stufte die Lage als „orange“ ein, also auf die zweithöchste Warnstufe. Am 21. Oktober 2026 veröffentlichte das PHP-Team Sicherheitsupdates.

Wichtig: Ein normales WordPress-Update behebt solche Lücken nicht. Sie stecken in der Server-Software und müssen dort geschlossen werden.

Diese PHP-Versionen sind abgesichert

Gut zu wissen: Für PHP 8.2 endet der Sicherheitssupport am 31. Dezember 2026. Wer noch auf 8.2 oder älter unterwegs ist, sollte den Wechsel jetzt planen.

So finden Sie die PHP-Version Ihrer WordPress-Website

1. Melden Sie sich im WordPress-Backend an.
2. Öffnen Sie Werkzeuge → Website-Zustand.
3. Wechseln Sie zum Reiter Bericht und klappen Sie den Bereich Server auf.
4. Dort steht unter „PHP-Version“ die genaue Versionsnummer.

Zeigt WordPress Ihnen im Website-Zustand bereits einen Hinweis auf eine veraltete PHP-Version, sollten Sie handeln.

PHP-Version aktualisieren: Schritt für Schritt

1. Backup erstellen: Sichern Sie Dateien und Datenbank vollständig.
2. Kompatibilität prüfen: Sind Theme und Plugins aktuell und für die neue PHP-Version freigegeben?
3. Erst in der Staging-Umgebung testen: Bei vielen Hostern, zum Beispiel Raidboxes, können Sie die PHP-Version zuerst in einer Testumgebung umstellen.
4. Live umstellen: Die PHP-Version wechseln Sie in der Regel im Hosting-Dashboard.
5. Website testen: Prüfen Sie Startseite, Formulare, Shop, Login und wichtige Funktionen. Achten Sie auf Fehlermeldungen.

Und wenn die Lücke schon ausgenutzt wurde?

Ein Update schließt die Lücke, entfernt aber keinen Schadcode, der vorher eingeschleust wurde. Wenn Ihre Website während des betroffenen Zeitraums mit einer verwundbaren PHP-Version lief, empfehlen wir eine gezielte Prüfung auf Schadsoftware. Mehr dazu lesen Sie in unserem Ratgeber Website-Sicherheit prüfen.

So unterstützen wir Sie

Bei unseren Wartungskunden haben wir die PHP-Patches bereits eingespielt. Zusätzlich bieten wir einen einmaligen Website-Security-Check für 99 € an, der Ihre Website auf Schadsoftware prüft und sie bei Bedarf bereinigt. Sie betreuen Ihre Website selbst und sind unsicher? Melden Sie sich bei uns.

Quellen: PHP-Sicherheitsupdates vom 21.10.2026; Berichte von t3n und windows-faq.de.

KI-Hinweis: Dieser Text wurde mithilfe von KI erstellt. Das Beitragsbild ist KI-generiert. Verantwortlich für den Inhalt: vereda. GmbH.