Zwei Lücken, 9,2 von 10 Punkten: Was KMU mit WordPress-Website heute tun müssen

Illustration: Leitgrad. Quelle: php.net, 21.10.2026.

Aktualisiert am 22. Oktober 2026

Ein Passwort braucht der Angreifer nicht. Im schlimmsten Fall reicht eine einzige präparierte Anfrage an den Webserver, und dort läuft fremder Code. So beschreibt das PHP-Projekt zwei Lücken, die es am 21. Oktober 2026 geschlossen hat. Beide stuft es mit 9,2 von 10 Punkten ein. Höher geht es kaum.

PHP ist die Sprache, in der WordPress geschrieben ist, dazu viele Webshops und Kundenportale. Die Lücke ist damit kein Thema für die IT allein. Sie betrifft die Website, über die Kunden anfragen, bestellen und sich bewerben. Und sie betrifft jeden Betrieb, der seinen Webauftritt einem Hoster oder einer Agentur überlässt und nie nach der PHP-Version gefragt hat.

Die Warnung kam einen Tag im Voraus. Am 20. Oktober kündigte das Projekt auf php.net ein Sicherheitsupdate an, ohne Einzelheiten. Am 21. Oktober um 16 Uhr Schweizer Zeit folgten die neuen Versionen und eine Empfehlung ohne Spielraum: Alle Nutzer sollen «sofort» aktualisieren.

Was die zwei Lücken anrichten können

Beide Fehler stecken tief in PHP selbst, nicht in WordPress oder in einem Plugin. Laut dem PHP-Projekt lässt sich über die erste Lücke (CVE-2026-109618) der Moment ausnutzen, in dem PHP der Speicher ausgeht und Daten einer Anfrage nur halb vorbereitet sind. Bei der zweiten (CVE-2026-109619) bleiben Reste einer früheren Anfrage im Speicher, die eine spätere Anfrage weiterverwendet.

Das Ergebnis ist in beiden Fällen dasselbe: Ein Angreifer kann ohne Passwort eigenen Code auf dem Server ausführen. Betroffen sind laut php.net alle Installationen, die Webanfragen bedienen. Am höchsten schätzt das Projekt das Risiko bei Apache mit mod_php ein. Dort sei ein Angriff vorgeführt worden, der greift, bevor überhaupt Code der Website läuft. Hinweise auf Angriffe in freier Wildbahn nennt php.net nicht.

Nur das Update schützt

Das PHP-Projekt beschreibt einige Einstellungen, die einzelne Angriffswege erschweren. Es hält aber ausdrücklich fest, dass sie eine Installation nicht sicher machen. «Updating is the only safe choice», heisst es in jeder der vier Versionsmeldungen.

Ein Punkt verdient besondere Aufmerksamkeit: PHP 8.1 und ältere Versionen erhalten vom PHP-Projekt keine Updates mehr. Wer eine alte Website auf einer solchen Version betreibt, ist auf den Hoster angewiesen oder muss umstellen. Und PHP 8.2 erhält nach dem 31. Dezember 2026 keine Sicherheitskorrekturen mehr.

Häufige Fragen

Ist meine WordPress-Website von der PHP-Lücke betroffen?

Wahrscheinlich ja, solange sie nicht auf PHP 8.5.12, 8.4.27, 8.3.36, 8.2.35 oder neuer läuft. Laut php.net sind alle PHP-Installationen betroffen, die Webseiten ausliefern. Die Version steht in WordPress unter Werkzeuge, Website-Zustand, Bericht.

Reicht es, WordPress und die Plugins zu aktualisieren?

Nein. Die Lücken stecken in PHP selbst. Das Update muss auf dem Server eingespielt werden, in der Regel durch den Hoster oder die betreuende Agentur.

Was gilt für PHP 8.1 und ältere Versionen?

Das PHP-Projekt liefert dafür keine Updates mehr. Es gibt nur Korrekturen im Quellcode für 7.4, 8.0 und 8.1, die ein Anbieter selbst einbauen müsste. Sicherer ist der Wechsel auf eine unterstützte Version.

Sie lesen Leitgrad öfter? Bei Google als bevorzugte Quelle markieren