Eine Website kann ordentlich aussehen, während im Hintergrund eine veraltete Laufzeit arbeitet. PHP gehört bei vielen Websites und auch bei WordPress zu diesem Unterbau. Für die Betreuung zählt deshalb nicht nur, ob die Startseite gerade lädt. Entscheidend ist auch, ob die eingesetzte Version noch gepflegt und mit den nötigen Korrekturen versorgt wird.
Warum das gerade wichtig ist
Am 21. Oktober 2026 hat das PHP-Projekt Sicherheitsupdates gegen zwei kritische Schwachstellen veröffentlicht. Sie tragen die Kennungen CVE-2026-109618 und CVE-2026-109619 und werden häufig unter „PHP2Shell“ zusammengefasst. Nach Angaben des Projekts können sie bei betroffenen Installationen die Ausführung fremden Codes ermöglichen.
Die veröffentlichten Korrekturen stecken in PHP 8.2.35, 8.3.36, 8.4.27 und 8.5.12. Das ist der Stand dieses Beitrags vom 22. Oktober 2026. Spätere Sicherheitsupdates solltest du ebenfalls einspielen lassen. Die Aussage „Wir nutzen PHP 8.5“ beantwortet noch nicht, welche Korrekturen tatsächlich installiert sind.
Quellen zu dieser Meldung: PHP-Projekt, erste Sicherheitsmeldung, zweite Sicherheitsmeldung.
Welche Version läuft bei dir?
Du findest die Angabe häufig im Kundenkonto deines Hostinganbieters oder in den Systeminformationen deiner Website. Bei WordPress hilft der Website-Zustand im Administrationsbereich. Wenn dein Anbieter eigene Sicherheitskorrekturen rückportiert, brauchst du zusätzlich dessen Auskunft zum Patchstand.
Unser öffentlicher PHP-Check kann nur auswerten, was der Server freiwillig mitteilt. Wird keine Version veröffentlicht, lautet das Ergebnis „Nicht öffentlich ermittelbar“. Daraus folgt weder ein Fehler noch eine Entwarnung. Der nächste Schritt ist dann die Prüfung im Hostingkonto.
Extended Support genau ansehen
Das PHP-Projekt pflegt einen Zweig nur für einen begrenzten Zeitraum. Manche Hostinganbieter bieten danach gesonderte Betreuung für ältere Versionen an. Was diese enthält, welche Korrekturen übernommen werden und was sie kostet, steht im jeweiligen Vertrag.
Eine solche Übergangslösung ersetzt nicht die Planung für eine künftig unterstützte Umgebung. Umgekehrt sollte eine Umstellung vorbereitet werden: Alte Erweiterungen oder eigener Code müssen mit der neuen Version zusammenarbeiten. Die Supportübersicht des PHP-Projekts hilft bei der zeitlichen Einordnung.
Erst eine Kopie prüfen
Vor dem Wechsel gehören eine vollständige Sicherung und ein geprüfter Wiederherstellungsweg auf den Tisch. Auf einer passenden Testkopie werden anschließend die wichtigen Abläufe durchgespielt. Eine unauffällige Startseite reicht dafür nicht aus.
Ich unterstütze dich bei dieser Vorbereitung und beim vereinbarten Wechsel in deinem bestehenden Hosting. Nach der Umstellung prüfen wir die entscheidenden Funktionen erneut. Besteht der Verdacht, dass eine Website bereits angegriffen wurde, ist das ein eigener Untersuchungsauftrag. Ein PHP-Update allein beantwortet diese Frage nicht.