WARNUNGKritische PHP-Sicherheitslücke · CVE-2026-109618 · CVE-2026-109619 · 21. Okt. 2026
<?doiusephp?>

Ist WordPress von der PHP-Sicherheitslücke betroffen?

Ja.

WordPress läuft mit PHP. Jede WordPress-Website auf eigenem Hosting ist daher betroffen, bis ihre PHP-Version aktualisiert ist. Bei WordPress.com kümmert sich Automattic für Sie um PHP.

So finden Sie Ihre PHP-Version: Werkzeuge → Website-Zustand → Bericht → Server.

Prüfen Sie Ihre Website

Nicht sicher, ob Ihre Website mit WordPress läuft? Unser kostenloser Check sucht in wenigen Sekunden nach PHP.

ihrewebsite.dePrüfen →

Was Betreiber von WordPress-Websites tun sollten

Wer betreut Ihre Website?

Wir zeigen Ihnen die passenden Schritte.

  1. 01

    Finden Sie heraus, wer Ihre Website betreut

    Meist ist das ein Hosting-Anbieter, ein Entwickler oder eine Agentur. So finden Sie es heraus:

    • suchen Sie in Rechnungen und Kontoauszügen nach einem Hosting-Anbieter oder einer Webagentur
    • durchsuchen Sie Ihre E-Mails nach „Hosting“, „Domain“ oder dem Namen dessen, der Ihre Website erstellt hat

    ERLEDIGT, WENNSie wissen, an wen Sie sich wenden.

  2. 02

    Senden Sie noch heute die Nachricht unten

    Die Nachricht erklärt, was zu tun ist: PHP auf eine abgesicherte Version aktualisieren. Bitten Sie um eine Antwort, sobald es erledigt ist.

    ERLEDIGT, WENNSie die Zusage haben, dass sich jemand darum kümmert.

  3. 03

    Lassen Sie sich bestätigen, dass alles behoben ist

    Bitten Sie um eine Bestätigung, dass Ihre Website jetzt eine abgesicherte PHP-Version (mindestens 8.2.35, 8.3.36, 8.4.27 oder 8.5.12, je nach eingesetzter Version) nutzt. Fragen Sie auch nach anderen Websites oder Systemen, die für Sie betrieben werden.

    ERLEDIGT, WENNSie diese Bestätigung schriftlich haben.

  4. 04

    Prüfen Sie, ob Ihre Website noch funktioniert

    Öffnen Sie Ihre Startseite und testen Sie Kontaktformular, Login und Bestellvorgang. Funktioniert nach dem Wechsel auf eine neuere PHP-Version etwas nicht mehr, aktualisieren Sie WordPress samt Plugins und Theme oder fragen Sie Ihren Entwickler.

    ERLEDIGT, WENNIhre wichtigen Seiten wie gewohnt funktionieren.

  5. 05

    Falls es heute nicht klappt

    Bitten Sie Ihren Hosting-Anbieter oder Entwickler, die vorübergehenden Schutzmaßnahmen des PHP-Projekts umzusetzen, bis das Sicherheitsupdate installiert ist. Sie stehen unten im Abschnitt für Entwickler. Geht auch das nicht bald, sollten Sie laut BSI erwägen, die Website vorübergehend vom Netz zu nehmen. Ihr Hosting-Anbieter kann so lange eine Wartungsseite anzeigen.

  6. 06

    Lassen Sie prüfen, ob Ihre Website gehackt wurde

    Bitten Sie Ihren Hosting-Anbieter oder Entwickler darum, vor allem wenn das Update länger als einen Tag gedauert hat. Anzeichen, die Sie selbst erkennen können:

    • Admin-Konten, die Sie nicht kennen
    • Seiten, Links oder Dateien, die Sie nicht angelegt haben
    • Besucher werden auf andere Websites umgeleitet
    • ein Hinweis bei Google wie „Diese Website wurde möglicherweise gehackt“

    ERLEDIGT, WENNdie Prüfung nichts ergeben hat oder alles bereinigt ist.

Senden Sie diese Nachricht an Ihren Hosting-Anbieter oder Entwickler

Kopieren Sie sie in eine E-Mail oder ein Support-Ticket.

Betreff: Dringend: kritische PHP-Sicherheitslücke (CVE-2026-109618 / CVE-2026-109619)

Guten Tag,

am 21. Oktober 2026 wurde eine kritische Sicherheitslücke in PHP veröffentlicht (CVE-2026-109618 und CVE-2026-109619). Angreifer können darüber ohne Anmeldung einen Webserver übernehmen. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) rät, unverzüglich zu handeln:
https://www.bsi.bund.de/SharedDocs/Cybersicherheitswarnungen/DE/2026/2026-297981-1032.pdf?__blob=publicationFile&v=3

Unsere Website läuft mit WordPress und nutzt damit PHP. Ich bitte Sie daher um Folgendes:

1. Teilen Sie mir mit, welche PHP-Version unsere Website und alle anderen Systeme, die Sie für uns betreuen, nutzen.
2. Aktualisieren Sie auf eine abgesicherte PHP-Version (8.5.12, 8.4.27, 8.3.36, 8.2.35 oder neuer). Falls eine neuere PHP-Version nötig ist, aktualisieren Sie bitte zuerst WordPress samt Plugins und Theme.
3. Falls ein Update nicht sofort möglich ist, setzen Sie die vorübergehenden Schutzmaßnahmen des PHP-Projekts um (https://www.php.net/) oder nehmen Sie die Website bis zur Behebung vom Netz.
4. Prüfen Sie den Server auf Anzeichen eines Angriffs.

Bitte geben Sie mir Bescheid, sobald das erledigt ist.

Vielen Dank und freundliche Grüße
Für Ihren Entwickler oder Hosting-Anbieter: Schritt für Schritt+
  1. 1.

    Jede PHP-Installation finden, die Websites ausliefert

    Prüfen Sie das PHP, das der Webserver nutzt, nicht nur das auf der Kommandozeile: php -v im Terminal kann eine andere Version zeigen. Berücksichtigen Sie jede Art, wie PHP hinter einer Website läuft (PHP-FPM hinter Nginx oder Apache, das in Apache integrierte mod_php, LiteSpeed, FrankenPHP), und vergessen Sie Container, Staging-Websites und weitere Server nicht.

  2. 2.

    Auf eine abgesicherte Version aktualisieren

    Abgesichert in 8.5.12, 8.4.27, 8.3.36 und 8.2.35 (je eine pro unterstützter Version). Nutzen Sie die Pakete Ihres Betriebssystems, ein neueres Container-Base-Image oder Ihr Hosting-Panel. PHP 8.1 und älter erhalten keine Updates mehr: Wechseln Sie auf eine unterstützte Version.

  3. 3.

    PHP neu starten

    Starten Sie PHP-FPM, Apache oder LiteSpeed nach dem Update neu. Bereits laufende Prozesse behalten den alten, verwundbaren Code, bis sie neu starten.

  4. 4.

    Prüfen, ob das Update wirklich aktiv ist

    Prüfen Sie die Version, mit der die Website selbst läuft, zum Beispiel mit einer vorübergehenden phpinfo()-Seite, die Sie danach wieder entfernen. Manche Linux-Distributionen beheben Sicherheitslücken, ohne die Versionsnummer zu ändern. Prüfen Sie in diesem Fall, ob das Changelog des Pakets CVE-2026-109618 und CVE-2026-109619 erwähnt.

  5. 5.

    Noch kein Update möglich? Vorübergehende Schutzmaßnahmen umsetzen

    php.net nennt vorübergehende Schutzmaßnahmen, die das Risiko bis zum Update verringern. Dazu gehören: memory_limit=-1 in der Serverkonfiguration setzen, sodass Skripte es nicht ändern können (das verhindert die Out-of-Memory-Situation, auf die der Angriff angewiesen ist; behalten Sie den Speicherverbrauch im Blick), die Limits für Anfrage- und Upload-Größen senken und session.upload_progress.enabled=0 setzen. Starten Sie PHP danach neu. Diese Maßnahmen verringern das Risiko, ersetzen das Update aber nicht.

  6. 6.

    Auf Anzeichen eines Angriffs prüfen

    Suchen Sie nach PHP-Dateien, die seit dem 21. Oktober 2026 hinzugefügt oder geändert wurden, nach Admin-Konten, die niemand kennt, nach neuen geplanten Aufgaben (Cronjobs), unerwarteten Prozessen oder ausgehenden Verbindungen und nach Out-of-Memory-Fehlern in den PHP-Logs. Wirkt etwas verdächtig: Spielen Sie ein sauberes Backup ein, ändern Sie alle Passwörter und Schlüssel (auch die Datenbank-Passwörter) und informieren Sie den Website-Betreiber.

  7. 7.

    Danach: PHP-Version nicht mehr preisgeben

    Setzen Sie expose_php = Off, damit Antworten keinen X-Powered-By: PHP/…-Header mehr enthalten, der Angreifern Ihre Version verrät.

Schweregrad: 9,2 von 10 (CVSS 4.0). CVE-2026-109618 (Remote Code Execution durch Speicherkorruption bei Out-of-Memory) · CVE-2026-109619 (Remote Code Execution durch veralteten globalen Zustand)

Gut zu wissen

  • Gehen Sie im WordPress-Dashboard zu Werkzeuge → Website-Zustand → Bericht und öffnen Sie den Abschnitt „Server“, um Ihre PHP-Version zu sehen. Der Website-Zustand warnt auch, wenn PHP veraltet ist. Quelle ↗
  • WordPress.com hat am 21. Oktober 2026 mitgeteilt, dass seine Kunden nichts tun müssen: WordPress.com aktualisiert PHP auf seinen eigenen Servern. Quelle ↗
  • WordPress empfiehlt PHP 8.3 oder neuer. Aktualisieren Sie vor dem Wechsel auf eine neuere PHP-Version WordPress, Ihre Plugins und Ihr Theme, denn ältere Versionen funktionieren dann mitunter nicht mehr. Quelle ↗

Fragen & Antworten

Behebt ein WordPress-Update die PHP-Sicherheitslücke?

Die Lücke steckt in PHP selbst, auf dem Ihre Website-Software läuft. Die Software und ihre Erweiterungen aktuell zu halten ist sinnvoll, schließt diese Lücke aber nicht: Auch PHP muss aktualisiert werden.

Wie sehe ich, welche PHP-Version meine WordPress-Website nutzt?

Gehen Sie im Dashboard zu Werkzeuge → Website-Zustand → Bericht und öffnen Sie den Abschnitt „Server“. Bei WordPress.com finden Sie die Version in den Hosting-Einstellungen Ihrer Website.

Meine Website liegt bei WordPress.com. Muss ich etwas tun?

Nein. WordPress.com wartet und aktualisiert PHP auf seinen eigenen Servern und hat erklärt, dass seine Kunden wegen dieser Lücke nichts unternehmen müssen.

Wer aktualisiert PHP für meine WordPress-Website?

Meist Ihr Hosting-Anbieter (über seinen Kundenbereich) oder der Entwickler bzw. die Agentur, die Ihre Website betreut. Bei vielen Hosting-Anbietern können Sie die PHP-Version auch selbst ändern.

Mehr: So prüfen Sie, ob Ihre Website PHP nutzt · Die PHP-Sicherheitslücke vom Oktober 2026 erklärt

Andere Plattformen: WooCommerce · Joomla · Drupal · Magento · PrestaShop · TYPO3 · Shopify · Wix · Squarespace

QUELLEN