Kritische PHP-Sicherheitslücke: Was WordPress-Betreiber jetzt tun sollten

Das Wichtigste in Kürze

Am 21. Oktober 2026 hat das PHP-Projekt eine kritische PHP-Sicherheitslücke geschlossen – genauer gesagt zwei Fehler auf einmal. Über sie können Angreifer ohne Passwort eigenen Programmcode auf einem Webserver ausführen. Betroffen ist praktisch jede WordPress-Website, bis ihre PHP-Version aktualisiert ist.

• Sicher sind: PHP 8.2.35, 8.3.36, 8.4.27 und 8.5.12 oder neuer.
• Betreue ich Ihre Website, kümmere ich mich um das Update. Sie müssen nichts tun.
• Liegt Ihre Website bei einem Webhoster, prüfen Sie die PHP-Version und fragen Sie im Zweifel dort nach.
• Betreiben Sie WordPress selbst mit Docker, finden Sie unten eine Schritt-für-Schritt-Anleitung.

Was ist passiert?

Das PHP-Team hat am 21. Oktober Updates für alle noch unterstützten PHP-Versionen veröffentlicht (Sicherheitshinweis auf php.net). Sie beheben zwei Fehler mit den Kennungen CVE-2026-109618 und CVE-2026-109619. Beide sind mit 9,2 von 10 Punkten bewertet, also als kritisch.

PHP ist die Programmiersprache, in der WordPress geschrieben ist. Jeder Seitenaufruf Ihrer Website wird von PHP verarbeitet. Genau in dieser Verarbeitung stecken die beiden Fehler:

• Fehler 1: Geht PHP während einer Anfrage der Arbeitsspeicher aus, bricht es mitten in der Vorbereitung ab. Beim anschließenden Aufräumen behandelt PHP die halbfertigen Daten so, als wären sie gültig.
• Fehler 2: Reste einer früheren Anfrage können im Speicher liegen bleiben. Die nächste Anfrage greift dann unter Umständen auf diese veralteten Daten zu – ähnlich wie ein Kassierer, der versehentlich mit dem Einkaufszettel des vorherigen Kunden weiterarbeitet.

Beides können Angreifer gezielt auslösen. Dafür brauchen sie weder ein Benutzerkonto noch Zugangsdaten.

Besonders gefährdet sind Server, auf denen PHP als Apache-Modul läuft (mod_php). Dafür wurde ein Angriff gezeigt, der greift, bevor WordPress überhaupt startet. Sicherheits-Plugins in WordPress können dagegen also nichts ausrichten.

Bin ich von der PHP-Sicherheitslücke betroffen?

Betroffen ist jede Website, deren PHP-Version älter ist als die abgesicherte Version ihres Zweigs. Die Tabelle zeigt, ab welcher Version Sie geschützt sind:

Quellen: php.net, ma.ttias.be

So finden Sie Ihre PHP-Version: Melden Sie sich in WordPress an und öffnen Sie Werkzeuge → Website-Zustand → Bericht. Im Bereich Server steht die PHP-Version.

Eine Besonderheit: Manche Linux-Distributionen wie Ubuntu spielen den Fix ein, lassen die Versionsnummer aber unverändert. Zeigt Ihr Hoster eine ältere Nummer an, fragen Sie dort nach, ob der Fix enthalten ist.

PHP 8.1 und älter erhalten vom PHP-Projekt keinen Fix mehr. Läuft Ihre Website noch damit, sollte sie jetzt auf eine aktuelle Version umgestellt werden.

Was Sie jetzt tun sollten

Was zu tun ist, hängt davon ab, wo Ihre Website läuft.

Ihre Website wird von mir betreut: Ich aktualisiere PHP auf allen von mir betriebenen Servern und prüfe anschließend jede Website. Sie müssen nichts unternehmen.

Ihre Website liegt bei einem Webhoster (Shared Hosting): Hier spielt der Hoster das Update ein. Prüfen Sie im Kundenmenü, dass mindestens PHP 8.2 eingestellt ist. Zeigt WordPress danach noch eine ungeschützte Version, fragen Sie beim Support nach.

Sie betreiben einen eigenen Server: Dann müssen Sie selbst aktualisieren und anschließend die richtigen Dienste neu starten. Läuft PHP als Apache-Modul, genügt ein einfaches Neuladen von Apache nicht. Erst ein vollständiger Neustart lädt die neue Version (Test von Mattias Geniar).

Für WordPress in Docker folgt jetzt eine Anleitung.

Anleitung: WordPress in Docker aktualisieren

Seit dem Abend des 21. Oktober enthalten die offiziellen WordPress-Images auf Docker Hub die abgesicherten PHP-Versionen. Ihre Inhalte wie Beiträge, Bilder und Plugins liegen in Volumes und bleiben beim Update erhalten.

Wichtig vorab: Ein docker restart oder docker compose down und up reicht nicht. Docker startet dann denselben alten Container-Inhalt neu. Erst ein frisch geladenes oder neu gebautes Image bringt die neue PHP-Version.

Schritt 1: Datensicherung anlegen. Sichern Sie die Datenbank und den Ordner wp-content, zum Beispiel mit Ihrem Backup-Plugin oder per Snapshot des Servers.

Schritt 2: Herausfinden, woher Ihr WordPress-Image kommt. Öffnen Sie die Datei docker-compose.yml Ihrer Website und sehen Sie beim WordPress-Dienst nach.

• Steht dort image: mit einem offiziellen Image wie wordpress:php8.3-apache, folgen Sie Schritt 3.
• Steht dort ein eigener Image-Name oder build:, gibt es eine eigene Dockerfile. Dann folgen Sie Schritt 4.

Schritt 3: Offizielles Image neu laden. Wechseln Sie in den Ordner Ihrer Website und führen Sie aus:

cd /pfad/zu/ihrer/website
docker compose pull
docker compose up -d

pull lädt das aktuelle Image herunter. up -d erkennt das neue Image und erstellt den WordPress-Container damit neu. Die Datenbank läuft dabei einfach weiter.

Schritt 4: Eigenes Image neu bauen. Wechseln Sie in den Ordner mit der Dockerfile, bauen Sie neu und erstellen Sie danach den Container neu:

cd /pfad/zur/dockerfile
docker build --pull -t mein-wordpress:latest .
cd /pfad/zu/ihrer/website
docker compose up -d

Entscheidend ist --pull. Ohne diese Option nimmt Docker das alte Basis-Image aus dem Zwischenspeicher, und die PHP-Version bleibt unverändert. Steht in der Compose-Datei build:, nutzen Sie stattdessen docker compose build --pull und danach docker compose up -d.

Schritt 5: Ergebnis prüfen.

docker compose exec wordpress php -v

Ersetzen Sie wordpress durch den Namen Ihres Dienstes. Die Ausgabe muss eine Version aus der Tabelle oben zeigen, zum Beispiel PHP 8.3.36. Alternativ sehen Sie die Version in WordPress unter Werkzeuge → Website-Zustand → Bericht.

Schritt 6: Aufräumen. Der Befehl docker image prune löscht alte Images, die kein Container mehr nutzt.

Schritt 7: Weitere PHP-Anwendungen finden. Laufen auf Ihrem Server noch andere Programme mit PHP, etwa eine Rechnungssoftware, brauchen auch diese neue Images. Dieser Befehl listet alle laufenden Container mit PHP und deren Version:

for c in $(docker ps --format '{{.Names}}'); do
  v=$(docker exec "$c" php -r 'echo PHP_VERSION;' 2>/dev/null) && echo "$c: $v"
done

Bei fertigen Images anderer Anbieter müssen Sie warten, bis diese eine neue Version veröffentlichen. Danach genügt im jeweiligen Ordner docker compose pull und docker compose up -d.

Wenn das Update noch nicht möglich ist

Nur ein Update schließt die Lücken vollständig. Bis dahin empfiehlt das PHP-Team einige Einstellungen, die bekannte Angriffswege erschweren (php.net):

session.upload_progress.enabled = 0
post_max_size = 32M
upload_max_filesize = 30M

• session.upload_progress.enabled = 0 schaltet eine Funktion ab, die WordPress nicht braucht. Sie war einer der bestätigten Angriffswege.
• Kleinere Upload-Grenzen erschweren den Angriff über den Arbeitsspeicher. Braucht Ihre Website gar keine Uploads, empfiehlt das PHP-Team für post_max_size sogar 8M.

In Docker legen Sie diese Zeilen in eine .ini-Datei unter /usr/local/etc/php/conf.d/ und erstellen den Container danach neu. Nach dem Update können Sie die Upload-Grenzen wieder anheben. Die Einstellung zum Upload-Fortschritt darf dauerhaft bleiben.

Fazit: Updates sind Pflicht, nicht Kür

Die PHP-Lücken zeigen, warum regelmäßige Updates zählen – nicht nur für WordPress und Plugins, sondern auch für die Software darunter. Als IT-Dienstleister sehe ich gerade bei Docker häufig Websites, die monatelang mit einer veralteten PHP-Version laufen. Der Grund: Container werden nur neu gestartet, aber nie neu gebaut.

Sie wissen nicht, welche PHP-Version Ihre Website nutzt, oder möchten das Update nicht selbst durchführen? Sprechen Sie mich an. Ich prüfe Ihre Website, spiele das Update ein und kümmere mich auf Wunsch dauerhaft um Ihre Server.

Tom Commander, IT-Service-Commander

Quellen: Sicherheitshinweis des PHP-Projekts vom 21.10.2026 · Mattias Geniar: PHP CVE-2026-109618 and CVE-2026-109619 – how to apply the patches

Transparenzhinweis: Dieser Artikel stammt von mir selbst.
KI wurde für die sprachliche Überarbeitung eingesetzt. Die inhaltliche Verantwortung liegt bei mir.