PHP2Shell und WordPress 7.1.4: Wer bei Ihrer Website die Updates einspielt

Ende Oktober 2026 kamen innerhalb einer Woche zwei Sicherheitsmeldungen, die fast jede Firmenwebsite betreffen. Am 21. Oktober hat das Bundesamt für Sicherheit in der Informationstechnik (BSI) vor zwei kritischen Lücken in PHP gewarnt, der Programmiersprache, mit der die meisten Websites auf dem Server laufen. Am 28. Oktober folgte WordPress 7.1.4 mit 22 behobenen Schwachstellen. Für Sie als Inhaber eines Betriebs ist dabei weniger die Technik interessant als eine einfache Frage: Wer spielt bei Ihrer Website eigentlich welche Updates ein – und hat das in den letzten Tagen jemand getan?

Was bei PHP passiert ist

PHP ist die Grundlage, auf der WordPress, TYPO3, Joomla, Drupal, viele Onlineshops und Kundenportale überhaupt erst laufen. Besucher Ihrer Website sehen davon nichts, aber jede Seite, die aufgerufen wird, wird auf dem Server von PHP zusammengesetzt. Die wichtigsten Fakten zur aktuellen Warnung:

• Zwei Lücken, beide kritisch: Sie tragen die Kennungen CVE-2026-109618 und CVE-2026-109619 und wurden mit 9,2 von 10 Punkten bewertet. Laut BSI könnten Angreifer damit aus der Ferne Schadcode auf Webservern ausführen, ohne sich anmelden zu müssen.
• Ein Spitzname mit Vorgeschichte: In Berichten heißen die Lücken „PHP2Shell“ – in Anlehnung an die bekannte Lücke „Log4Shell“.
• Updates gibt es seit dem 21. Oktober 2026: Die PHP-Entwickler haben an diesem Tag die abgesicherten Versionen 8.5.12, 8.4.27, 8.3.36 und 8.2.35 veröffentlicht. Alles, was darunter liegt, gilt als verwundbar.
• Das BSI drängt zur Eile: Es hält eine großflächige Ausnutzung innerhalb weniger Stunden nach Erscheinen der Updates für wahrscheinlich, weil sich aus einem Update – zunehmend auch mit KI-Werkzeugen – schnell ableiten lässt, wo der Fehler lag. BSI-Vizepräsident Thomas Caspers: „Es besteht also unverzüglicher Handlungsbedarf!“
• Stand der Angriffe: Am 22. Oktober war dem BSI noch keine erfolgreiche Ausnutzung in der Breite bekannt. Sicherheitsfirmen und Hosting-Anbieter hatten aber bereits erste Angriffsversuche gemeldet.

Für Angreifer spielt die Größe einer Website keine Rolle. Wird eine Lücke großflächig ausgenutzt, durchsuchen Programme automatisch das ganze Netz nach verwundbaren Servern. Die Website eines Malerbetriebs ist dann genauso ein Ziel wie ein großer Onlineshop – oft sogar ein leichteres, weil sich niemand täglich um sie kümmert. Gelingt der Angriff, kann der Server etwa Schadsoftware verteilen, Spam versenden oder Daten aus Kontaktformularen preisgeben.

Bemerkenswert ist ein Nachtrag des BSI: PHP steckt nicht nur in Websites, sondern auch in manchen Netzwerkgeräten. Mehrere Hersteller solcher Geräte haben inzwischen eigene Sicherheitshinweise veröffentlicht.

Eine Woche später: WordPress 7.1.4

Am 28. Oktober 2026 hat WordPress die Version 7.1.4 veröffentlicht – drei Wochen nach dem letzten Sicherheitsupdate. Diese Meldung ist weniger dramatisch als die zu PHP, gehört aber in dieselbe Prüfung:

• 22 Schwachstellen sind behoben. Für die allermeisten braucht ein Angreifer bereits ein Benutzerkonto auf Ihrer Website, mindestens mit der Rolle „Mitarbeiter“ (englisch Contributor).
• Eine Lücke kommt ohne Konto aus: Sie betrifft den Update-Vorgang selbst und lässt sich nur in einem Zeitfenster von wenigen Sekunden ausnutzen, während WordPress gerade aktualisiert wird. Das Sicherheitsunternehmen Patchstack hält einen praktischen Angriff deshalb für schwierig; Angriffe waren dort bisher nicht bekannt.
• Ältere Versionszweige haben am selben Tag eigene Korrekturen bekommen, etwa 7.0.8 und 6.9.11. Websites mit WordPress 4.6 oder älter erhalten keine Sicherheitsupdates mehr.
• Automatische Updates helfen: Ist die automatische Aktualisierung im Hintergrund eingeschaltet, hat Ihre Website die neue Version in der Regel schon von selbst erhalten.

Drei Ebenen, oft drei Zuständige

Die beiden Meldungen zeigen gut, warum Website-Sicherheit oft zwischen den Stühlen liegt. Eine WordPress-Website besteht aus mehreren Schichten, und für jede kann jemand anderes zuständig sein:

• Der Server mit PHP: Bei einem üblichen Webhosting-Paket spielt der Anbieter die PHP-Updates ein. Welche Hauptversion – etwa 8.2 oder 8.3 – Ihre Website nutzt, stellen Sie oder Ihr Dienstleister aber häufig selbst im Kundenmenü ein. Läuft die Website auf einem eigenen Server, ist niemand automatisch zuständig.
• Der WordPress-Kern: Kleinere Sicherheitsupdates spielt WordPress meist selbst ein. Ob das bei Ihnen eingeschaltet ist, hängt von der Einrichtung ab.
• Plugins und Theme: Erweiterungen und das Design werden nur aktualisiert, wenn das jemand einrichtet oder regelmäßig von Hand erledigt. Welche Folgen veraltete Erweiterungen haben können, haben wir im Beitrag über die WordPress-Sicherheitslücken im Sommer 2026 beschrieben.

In vielen kleinen Betrieben hat die Agentur die Website vor Jahren gebaut, das Hosting läuft auf den Namen des Inhabers, und um die Updates kümmert sich – stillschweigend – niemand. Solange nichts passiert, fällt das nicht auf. Eine Warnung wie die zu PHP ist ein guter Anlass, diese Lücke in der Zuständigkeit zu schließen.

Was Sie jetzt tun können

Die folgenden Schritte schaffen Sie ohne IT-Kenntnisse in einer halben Stunde. Für die ersten beiden brauchen Sie nur Ihre Anmeldung bei WordPress:

1. PHP-Version ablesen: Im WordPress-Menü unter „Werkzeuge“ → „Website-Zustand“ → „Bericht“ finden Sie im Abschnitt „Server“ die genaue PHP-Version. Steht dort mindestens 8.5.12, 8.4.27, 8.3.36 oder 8.2.35, ist PHP auf dem aktuellen Stand.
2. WordPress-Version ablesen: Unter „Dashboard“ → „Aktualisierungen“ sehen Sie, ob 7.1.4 installiert ist und ob für Plugins oder das Theme noch Updates offen sind.
3. Beim Hosting-Anbieter nachfragen, wenn die PHP-Version älter ist oder Sie sie nicht finden: Ist PHP auf meinem Paket bereits aktualisiert, und welche Hauptversion nutzt meine Website? Eine kurze Mail mit Ihrer Domain genügt.
4. Benutzerkonten durchsehen: Unter „Benutzer“ sehen Sie, wer ein Konto auf Ihrer Website hat. Konten ehemaliger Mitarbeitender, Praktikanten oder früherer Agenturen sollten gelöscht oder herabgestuft werden – genau dort setzen die meisten WordPress-Lücken an.
5. Zuständigkeit festhalten: Schreiben Sie auf, wer für Server, WordPress und Plugins verantwortlich ist und wie Sie diese Person im Notfall erreichen. Wenn bei einem Punkt „weiß nicht“ steht, ist das die eigentliche Aufgabe.

Wenn noch eine alte PHP-Version läuft

Für ältere PHP-Versionen ist die Lage schwieriger. Das PHP-Projekt selbst liefert für Version 8.1 und älter keine Updates mehr aus:

• PHP 8.1, 8.0 und 7.4: Für diese Versionen gibt es nur Korrekturen im Quelltext, aber keine offiziellen neuen Versionen. Ob Ihre Website trotzdem geschützt ist, hängt davon ab, ob Ihr Hosting-Anbieter oder das Betriebssystem des Servers solche Korrekturen selbst einbaut. Das PHP-Projekt rät, genau das beim Anbieter zu erfragen – oder auf eine unterstützte Version zu wechseln.
• PHP 8.2: Diese Version hat das aktuelle Update noch bekommen, erhält aber nach dem 31. Dezember 2026 keine Sicherheitskorrekturen mehr. Was der Wechsel bedeutet, steht in unserem Beitrag zum Support-Ende von PHP 8.2.
• Der Wechsel will getestet sein: Ältere Themes und Plugins laufen auf neuen PHP-Versionen nicht immer fehlerfrei. Deshalb lohnt sich vorher eine Testkopie der Website, statt im laufenden Betrieb umzuschalten.

Das PHP-Projekt nennt zwar Übergangsmaßnahmen in der Serverkonfiguration, betont aber selbst: Vollständig geschützt ist nur, wer aktualisiert. Wenn Ihre Website auf einer alten Version läuft und ein Wechsel nicht sofort möglich ist, sollte das daher eine Lösung auf Zeit bleiben.

Fazit

Die PHP-Lücken vom Oktober 2026 betreffen nicht eine bestimmte Erweiterung, sondern das Fundament fast jeder Firmenwebsite. Ob Ihre Website geschützt ist, entscheidet sich deshalb nicht in WordPress, sondern auf dem Server – und damit oft bei jemandem, an den Sie seit Jahren nicht mehr gedacht haben. Die gute Nachricht: Mit einem Blick in den Website-Zustand und einer kurzen Mail an Ihren Anbieter wissen Sie in wenigen Minuten, woran Sie sind. Wichtiger als die einzelne Meldung ist aber, dass danach feststeht, wer sich künftig um Server, WordPress und Erweiterungen kümmert. Die nächste Warnung kommt bestimmt.

Wissen Sie, wer bei Ihrer Website die Updates einspielt?

Ich prüfe für Sie, auf welchem Stand Server, PHP, WordPress und Erweiterungen Ihrer Website sind, stelle bei Bedarf auf eine aktuelle PHP-Version um – vorher getestet an einer Kopie – und übernehme auf Wunsch die laufenden Updates samt Datensicherung. Wenn Sie lieber selbst zuständig bleiben, zeige ich Ihnen, worauf Sie achten müssen.