Kritische Sicherheitslücken in PHP: Warum ein aktuelles WordPress diesmal nicht reicht

Im Oktober 2026 wurden zwei schwerwiegende Schwachstellen in PHP bekannt. Sie erlauben Angreifern, über das Internet beliebigen Code auf Webservern auszuführen. Das Problem steckt nicht in WordPress, Shopware oder Joomla, sondern in der Technik darunter. Deshalb schützt auch ein vorbildlich gepflegtes CMS allein nicht.

Was ist passiert?

Am 20. Oktober 2026 hat das PHP-Sicherheitsteam ein außerplanmäßiges Sicherheitsupdate für den 21. Oktober angekündigt. Es schließt zwei Lücken, die jeweils mit 9,2 von 10 Punkten (CVSS v4.0) bewertet und als kritisch eingestuft sind.

Beide Lücken ermöglichen eine sogenannte Remote Code Execution: Angreifer können aus der Ferne eigenen Programmcode auf dem Server ausführen und damit zum Beispiel

• Kunden- und Formulardaten abgreifen,
• Schadsoftware oder Spam-Seiten einschleusen,
• Inhalte manipulieren oder den Server für weitere Angriffe missbrauchen.

Warum ein aktuelles CMS diesmal nicht schützt

Normalerweise gilt: WordPress, Plugins und Theme aktuell halten, dann ist man gut aufgestellt. Diesmal reicht das nicht. Die Lücken stecken in PHP selbst, also in der Programmiersprache, auf der WordPress, Shopware, Joomla und die meisten anderen Webanwendungen laufen. Ein Update im WordPress-Backend ändert an der PHP-Version des Servers nichts.

Hinzu kommt: Laut Sicherheitsdienstleistern sind technische Details bereits vor der Veröffentlichung der Updates durchgesickert, erste Angriffsversuche wurden beobachtet. Sobald Patches öffentlich sind, lässt sich zudem ablesen, wo genau die Lücke saß. Erfahrungsgemäß folgen dann automatisierte Massenscans, die das Internet systematisch nach ungepatchten Servern absuchen. Ob eine Website klein oder groß ist, spielt dabei keine Rolle.

Das eigentliche Risiko: veraltete PHP-Versionen

Offizielle Sicherheitskorrekturen liefert das PHP-Projekt nur für Versionen, die es noch aktiv unterstützt. Websites auf PHP 8.1, 7.x oder älter bleiben damit ohne zusätzliche Maßnahmen angreifbar. Betroffen sind häufig ältere Installationen, etwa Joomla-3-Seiten oder WordPress-Projekte, die lange nicht modernisiert wurden.

Was Website-Betreiber tun sollten

Für Kunden von Zahm & Zornig

Auf den von uns betreuten Servern spielen wir die Sicherheitsupdates gemeinsam mit unserem Hosting-Partner unmittelbar nach Veröffentlichung ein. Während des Patchens kann Ihre Website kurzzeitig nicht erreichbar sein. Das ist für einen sicheren Betrieb notwendig. Sie selbst müssen nichts unternehmen.

Für Websites auf älteren PHP-Versionen, die keine offiziellen Korrekturen mehr erhalten, prüfen wir individuelle Schutzmaßnahmen. Dauerhaft führt an einem Upgrade jedoch kein Weg vorbei. Betroffene Kunden sprechen wir dazu direkt an.

Häufige Fragen

• Ist meine WordPress-Website betroffen, obwohl alles aktuell ist?

  Sehr wahrscheinlich ja. Die Lücken liegen in PHP, nicht in WordPress. Entscheidend ist, ob auf dem Server die PHP-Sicherheitsupdates eingespielt wurden.

• Welche PHP-Versionen sind genau betroffen?

  Verbindliche Angaben zu betroffenen und korrigierten Versionen dokumentiert das PHP-Projekt in den Release-Hinweisen auf php.net.

• Muss ich als Kunde von Zahm & Zornig etwas tun?

  Nein. Auf den von uns betreuten Servern spielen wir die Updates gemeinsam mit unserem Hosting-Partner ein. Kurze Ausfallzeiten während des Patchens sind möglich.

• Was passiert mit Websites auf alten PHP-Versionen?

  Offizielle Korrekturen gibt es nur für Versionen, die das PHP-Projekt noch unterstützt. Ältere Versionen bleiben ohne zusätzliche Maßnahmen angreifbar. Ein Upgrade ist dann dringend zu empfehlen.

• Woran erkenne ich, ob meine Website bereits angegriffen wurde?

  Typische Anzeichen sind unbekannte Admin-Konten, fremde Dateien auf dem Server, Weiterleitungen auf fremde Seiten oder Warnungen von Google. Im Verdachtsfall hilft unsere Soforthilfe bei gehackten WordPress-Seiten.