PHP-Sicherheitsupdate: Was WordPress-Betreiber jetzt prüfen sollten

Am 21. Oktober 2026 hat das PHP-Team Sicherheitsupdates für zwei kritische Schwachstellen veröffentlicht. Für Betreiber einer WordPress-Website ist das ein Anlass, den technischen Stand beim Hosting zu prüfen. Denn auch wenn WordPress und alle Plugins aktuell sind, kann darunter noch eine verwundbare PHP-Version laufen.

Hier erfährst du, was das bedeutet, welche Fragen du deinem Hoster stellen kannst und wie ich das Update bei Hier & Sichtbar umgesetzt habe. Stand dieses Beitrags: 21. Oktober 2026. Die genannten Versionsstände beziehen sich auf diesen Release.

Was hat PHP mit deiner WordPress-Website zu tun?

PHP ist die Programmiersprache, die WordPress auf dem Server ausführt. Sie verarbeitet zum Beispiel Seitenaufrufe, lädt Inhalte aus der Datenbank und führt Funktionen von Themes und Plugins aus. Besucher sehen anschließend die daraus erzeugte Webseite im Browser.

WordPress, Erweiterungen und PHP werden getrennt aktualisiert. Ein Update im WordPress-Dashboard aktualisiert normalerweise nicht automatisch die PHP-Version des Hostings. Dafür sind je nach Vertrag dein Hosting-Anbieter, deine technische Betreuung oder du selbst zuständig.

Für deinen Betrieb zählt, dass die Website erreichbar bleibt und wichtige Abläufe funktionieren: etwa die Kontaktaufnahme, ein Terminformular oder der geschützte Verwaltungszugang. Eine klare Zuständigkeit für die Technik hilft, Sicherheitsmeldungen zügig zu bearbeiten.

Welche PHP-Versionen sind jetzt korrigiert?

Die PHP-Sicherheitsmeldungen CVE-2026-109618 und CVE-2026-109619 beschreiben Fehler in der Speicher- und Zustandsverwaltung. Sie können unter betroffenen Betriebsbedingungen die Ausführung fremden Codes auf dem Server ermöglichen. Ob und wie eine Installation angreifbar ist, hängt auch von ihrer Konfiguration ab.

Für die genannten PHP-Reihen nennen die offiziellen Meldungen diese korrigierten Versionen:

PHP-Reihe	Korrektur ab
8.2	8.2.35
8.3	8.3.36
8.4	8.4.27
8.5	8.5.12

In diesen Reihen sind die jeweils früheren Versionen von den Meldungen betroffen. Auch PHP 8.5.11 enthält die heutigen Korrekturen noch nicht. Die Angabe „PHP 8.5“ allein genügt deshalb nicht zur Prüfung. Bei älteren, hier nicht aufgeführten PHP-Reihen muss der Unterstützungs- und Sicherheitsstand gesondert geklärt werden.

Du musst dafür nicht grundsätzlich auf die höchste PHP-Reihe wechseln. Entscheidend ist eine unterstützte, korrigierte Version, die zu deiner Website passt. Ein Hoster kann Sicherheitskorrekturen auch in seine eigenen Pakete zurückportieren. In diesem Fall sollte er die Behebung der beiden konkreten Lücken nachvollziehbar bestätigen können.

So prüfst du den Stand deiner Website

1. Vollständige PHP-Version ablesen. In WordPress findest du sie normalerweise unter Werkzeuge → Website-Zustand → Bericht, im Abschnitt Server. Je nach Übersetzung kann der Reiter auch Info heißen. Die WordPress-Dokumentation zum Website-Zustand beschreibt diese Ansicht.
2. Beim Hoster oder Betreuer nachfragen. Lass dir bestätigen, welche PHP-Version für genau diese Website aktiv ist und ob die beiden genannten Sicherheitskorrekturen enthalten sind. Eine verfügbare Version im Kundenmenü ist noch keine Bestätigung, dass deine Website sie bereits verwendet.
3. Weitere Installationen berücksichtigen. Unterdomains, Testseiten und ältere WordPress-Installationen können einen anderen PHP-Stand haben. Prüfe alle Websites, für die du verantwortlich bist.
4. Den nächsten Schritt festlegen. Ist die Korrektur noch offen, kläre zeitnah den Updateweg und die Zuständigkeit. Ändere die Serverkonfiguration nur, wenn Sicherung, Kompatibilität und Rückweg geklärt sind.

Wie ein kontrolliertes PHP-Update abläuft

Ein sinnvoller Ablauf verbindet die Sicherheitskorrektur mit einer Prüfung der Website. Dafür gehören diese Schritte zusammen:

• Sichern: Website-Dateien, Datenbank und benötigte Konfiguration aktuell sichern. Ein brauchbares Backup lässt sich wiederherstellen; eine Erfolgsmeldung allein beweist das noch nicht.
• In einer getrennten Kopie testen: Theme, Plugins, erforderliche PHP-Erweiterungen und wichtige Seiten mit der neuen Version prüfen. Testdaten und Testmails dürfen dabei nicht bei echten Interessenten landen.
• Gezielt umstellen: Die geprüfte Version aktivieren und sicherstellen, dass die Einstellung auch nach einem Neustart oder einer erneuten Bereitstellung gilt.
• Live kontrollieren: Startseite, Unterseiten, Anmeldung und wichtige Formulare prüfen. Fehlerprotokolle und Erreichbarkeit gehören ebenfalls dazu.
• Abschluss dokumentieren: Den tatsächlich laufenden Versionsstand festhalten und den neuen Zustand sichern. Ein Rückweg dient zur Behebung technischer Probleme; eine verwundbare alte Version ist keine dauerhafte Lösung.

Praxisbeispiel: Das Update bei Hier & Sichtbar

Für meine eigene Agenturwebsite und die WordPress-Demo habe ich am 21. Oktober 2026 PHP 8.5.12 eingespielt. Zuvor liefen beide bereits auf PHP 8.5.11. Gerade dieser kleine Versionssprung war für die beiden neu veröffentlichten Korrekturen entscheidend.

In unserer Container-Umgebung enthielt das fertige offizielle WordPress-Image zum Prüfzeitpunkt noch die vorherige PHP-Version. Deshalb habe ich ein eigenes Image mit den offiziellen Docker-Bauanleitungen und dem signierten PHP-Quellpaket erstellt. Herkunft und Prüfsumme wurden kontrolliert. Dieser Weg setzt Erfahrung mit dem eigenen Serverbetrieb voraus; bei verwaltetem WordPress-Hosting übernimmt die Umstellung normalerweise der Anbieter.

Vor der Umschaltung habe ich frische Sicherungen beider Websites in getrennten Umgebungen wiederhergestellt und getestet. Dazu gehörten Themes, Erweiterungen, Administratoranmeldung und Kontaktformularfälle ohne echten Mailversand. Nach der Umstellung habe ich die laufende Version, öffentliche Seiten und Gesundheitsprüfungen kontrolliert. Auch das neue Image wurde gesichert und aus dem Backup erfolgreich wieder geladen.

Die Inhalte und die WordPress-Version blieben bei diesem Sicherheitsupdate erhalten. Die Prüfung bestätigt die Installation der Korrekturen und die getesteten Funktionen. Weitere Pflege von WordPress, Plugins und Server gehört weiterhin zum Betrieb einer Website.

Deine kurze Checkliste

• Ich kenne die vollständige PHP-Version meiner Website.
• Mein Hoster oder Betreuer hat den Korrekturstand bestätigt.
• Eine aktuelle, wiederherstellbare Sicherung ist vorhanden.
• Die neue Version wurde mit meiner Website getestet.
• Nach der Umstellung wurden die wichtigen Funktionen geprüft.
• Es ist klar, wer künftige Sicherheitsmeldungen und Updates bearbeitet.

Wenn du den technischen Stand deiner Website nicht sicher beurteilen kannst, sprich mich auf die Betreuung deiner WordPress-Website an. Gemeinsam klären wir, was vorhanden ist und welche nächsten Schritte zu deinem Betrieb passen.

Offizielle Quellen

• PHP 8.5.12: offizielle Release-Mitteilung
• PHP-Sicherheitsmeldung zu CVE-2026-109618
• PHP-Sicherheitsmeldung zu CVE-2026-109619
• WordPress: Informationen zum Website-Zustand

Über den Autor

Hi, ich bin Tim.

Ich gestalte und betreue Websites für Handwerksbetriebe, Praxen und kleine Unternehmen. Von Nördlingen aus arbeite ich bundesweit mit meinen Kunden zusammen.

Mehr über mich

Dein nächster Schritt

Was soll deine Website besser machen?

Erzähl mir von deinem Betrieb und deinem Vorhaben. Gemeinsam klären wir, was zu dir passt.

Vorhaben besprechen Websites für Handwerker

Alle Ratgeberbeiträge ansehen