PHP-Sicherheitslücke: Was WordPress- und Joomla-Betreiber jetzt tun sollten
Zwei kritische PHP-Sicherheitslücken betreffen weltweit zahlreiche Websites. Was Betreiber von WordPress, Joomla und anderen PHP-Systemen jetzt prüfen und aktualisieren sollten.
Eine aktuelle Sicherheitslücke in PHP sorgt weltweit für Aufregung. Einige Behörden haben ihre Webseiten vorsorglich vom Netz genommen. Das klingt dramatisch – und zeigt gleichzeitig, wie wichtig regelmäßige Updates für jede Website sind.
Was ist passiert?
PHP ist eine Programmiersprache, die auf Webservern im Hintergrund arbeitet. Sie baut Seiten auf, verarbeitet Formulare und liest Inhalte aus Datenbanken. WordPress, Joomla, Drupal, Magento und viele individuelle Websites verwenden PHP.
Am 21. Oktober 2026 hat das PHP-Projekt zwei kritische Lücken veröffentlicht: CVE-2026-109618 und CVE-2026-109619. Unter bestimmten Bedingungen konnten Angreifer ohne Benutzerkonto eigenen Code auf einem betroffenen Server ausführen. Vereinfacht gesagt: Eine präparierte Anfrage konnte PHP in einen fehlerhaften Zustand bringen – und dadurch möglicherweise die Kontrolle über den Server öffnen.
Die Lücken wurden als kritisch eingestuft. Die PHP-Entwickler stellen korrigierte Versionen bereit und schreiben ausdrücklich: Aktualisieren ist die einzige verlässliche Lösung. Sicherheitsbehörden in mehreren Ländern haben deshalb zu sofortigen Maßnahmen geraten. Manche Regierungs- und Behördenportale wurden vorsorglich abgeschaltet, bis die Systeme geprüft und aktualisiert waren. Das bedeutet nicht automatisch, dass diese Seiten angegriffen wurden.
PHP läuft auf einem sehr großen Teil des Webs. W3Techs erfasst PHP bei rund sieben von zehn Websites, deren serverseitige Technik bekannt ist. Deshalb kann eine Lücke in PHP sehr viele Angebote gleichzeitig betreffen – von kleinen Vereinsseiten bis zu großen Behördenportalen und Onlineshops.
Was bedeutet das für WordPress und Joomla?
WordPress oder Joomla sind nicht automatisch unsicher. Entscheidend ist die PHP-Version auf dem Server und ob sie bereits gepatcht wurde. Ein aktuelles CMS, veraltete Plugins oder ein alter Server können dabei unterschiedliche Risiken haben.
Die Sicherheitslücke steckt in der PHP-Laufzeitumgebung. Ein Update von WordPress allein reicht daher nicht, wenn auf dem Server weiterhin eine verwundbare PHP-Version läuft. Umgekehrt schützt ein PHP-Update nicht vor veralteten Plugins. Beides gehört zusammen.
Diese Schritte sind jetzt sinnvoll
- PHP-Version prüfen: Im Hosting-Panel, in der WordPress-Website-Zustandsanzeige oder beim Hosting-Anbieter nachsehen. Die korrigierten Versionen sind PHP 8.2.35, 8.3.36, 8.4.27 und 8.5.12.
- PHP aktualisieren: Das Update über den Hoster einspielen lassen. Nicht einfach eine neue Version erzwingen, ohne vorher Kompatibilität und Backup zu prüfen.
- Website sichern: Ein vollständiges, getestetes Backup von Dateien und Datenbank anlegen.
- CMS, Plugins und Themes aktualisieren: Danach WordPress, Joomla und alle Erweiterungen auf den aktuellen Stand bringen. Nicht benötigte oder verlassene Plugins entfernen.
- Funktion testen: Kontaktformular, Login, Shop, Buchung und wichtige Automatisierungen prüfen. Updates können in Einzelfällen Funktionen oder Layouts beeinflussen.
- Bei Verdacht reagieren: Passwörter und Zugangsschlüssel ändern, Protokolle prüfen lassen und den Hosting-Anbieter oder eine Fachperson einschalten. Bei einem möglichen Angriff nicht einfach nur die Startseite reparieren.
Wer muss was tun?
Der Hosting-Anbieter ist für die PHP-Version auf dem Server zuständig. Die Betreiberin oder der Betreiber der Website muss dafür sorgen, dass CMS, Plugins, Themes und eigene Erweiterungen gepflegt werden. Bei gemieteten Managed-Hosting-Paketen übernimmt der Hoster PHP-Updates oft automatisch – das sollte trotzdem ausdrücklich geprüft werden.
Eine Firewall oder ein Sicherheits-Plugin kann zusätzliche Schutzschichten bieten. Es ersetzt aber kein PHP-Update. Auch ein vorübergehendes Abschalten einzelner Funktionen ist höchstens eine Notmaßnahme, bis der Server aktualisiert werden kann.
Eine kurze Kontaktaufnahme reicht. Ich prüfe, welche PHP-Version und welche Systeme eingesetzt werden, und kläre, welche Maßnahmen sinnvoll und notwendig sind. Kontakt aufnehmen
Warum regelmäßige Wartung so wichtig ist
Eine Website ist kein einmaliges Projekt. Server, PHP, CMS, Plugins und Sicherheitsanforderungen verändern sich laufend. Wer Updates aufschiebt, sammelt Risiken an. Wer regelmäßig prüft, kann Sicherheitslücken schließen, bevor daraus ein Ausfall, Datenverlust oder ein deutlich teurer Notfall wird.
