WICHTIG / AKTUELL – Stand 21. Oktober 2026: Die PHP-Entwickler haben vier Sicherheitsreleases veröffentlicht, die zwei kritische Schwachstellen schließen: CVE-2026-109618 und CVE-2026-109619. Beide können unauthentifizierte Remote-Code-Ausführung ermöglichen. PHP empfiehlt deshalb ausdrücklich ein sofortiges Update.
Welche PHP-Versionen enthalten den Fix?
- PHP 8.5.12
- PHP 8.4.27
- PHP 8.3.36
- PHP 8.2.35
Betroffen sind PHP-Installationen, die Webanfragen verarbeiten – darunter PHP-FPM, Apache mit mod_php, php-cgi, FrankenPHP und LiteSpeed. PHP stuft das Risiko für mod_php besonders hoch ein. Vollständige Ersatzmaßnahmen gibt es laut PHP nicht: Das Update ist die sichere Lösung.
Warum Wordfence allein nicht reicht
Die Schwachstellen liegen in PHP selbst und damit unterhalb von WordPress. Wordfence und andere Sicherheitsplugins bleiben sinnvoll, ersetzen aber kein Update der PHP-Laufzeit.
So sichere ich WordPress-Seiten ab
- Aktuelle PHP-Version der Website ermitteln.
- Beim Hoster prüfen, ob ein gepatchter Build verfügbar ist.
- Möglichst innerhalb desselben PHP-Zweigs auf den Sicherheitsstand aktualisieren.
- WordPress, Plugins und Themes anschließend auf Funktion prüfen.
- Formulare, Buchungen, Cronjobs, E-Mail-Versand und wichtige Frontend-Funktionen testen.
Besonderheit bei ALL-INKL
Bei ALL-INKL wird die PHP-Version im KAS für die jeweilige Domain oder Subdomain eingestellt. Zusätzlich sollte geprüft werden, ob die .htaccess einen eigenen PHP-Handler festlegt. Solche Einstellungen können die im KAS gewählte PHP-Version beeinflussen.
Nicht blind die PHP-Hauptversion wechseln
Ein Sicherheitsupdate von beispielsweise PHP 8.5.9 auf 8.5.12 ist etwas anderes als ein Sprung von PHP 8.2 auf 8.5. Bei produktiven WordPress-Seiten sollte eine neue Hauptversion erst eingesetzt werden, wenn Theme, Plugins und individuelle Funktionen damit kompatibel sind.
PHP 8.2 nur noch als Übergang
PHP 8.2 erhält mit 8.2.35 zwar den aktuellen Sicherheitsfix, erreicht aber am 31. Dezember 2026 sein End-of-Life. Wer heute noch auf 8.2 läuft, sollte deshalb neben dem sofortigen Sicherheitsupdate auch den Wechsel auf einen länger unterstützten PHP-Zweig planen.
Praxischeck: 49 WordPress-Projekte
Bei einem aktuellen Check von 49 verbundenen WordPress-Projekten fanden sich noch ältere Builds aus den Zweigen 8.2, 8.3, 8.4 und 8.5. Das zeigt, warum ein zentraler PHP-Versionscheck nach kritischen Sicherheitsmeldungen sinnvoll ist: Nicht die WordPress-Version entscheidet hier über den Schutz, sondern der PHP-Stand des Servers.