WordPress-Updates reichen nicht: Warum die PHP-Version entscheidet

Am 21. Oktober 2026 hat das PHP-Team zwei kritische Sicherheitslücken geschlossen, bekannt als „PHP2Shell“ (CVSS 9,2). Angreifer konnten darüber unter Umständen ohne Anmeldung eigenen Code auf Webservern ausführen.^[1] Wer an diesem Tag im WordPress-Dashboard auf „Aktualisieren“ geklickt hat, war trotzdem nicht geschützt. Die Lücken steckten nicht in WordPress, sondern eine Schicht darunter: in PHP, der Programmiersprache, in der WordPress läuft.

Kurz gesagt: WordPress empfiehlt derzeit PHP 8.3 oder neuer.^[2] Sicherheitsupdates bekommen nur noch PHP 8.2 bis 8.5, PHP 8.2 bis zum 31. Dezember 2026.^[3] Ihre Version finden Sie in WordPress unter Werkzeuge → Website-Zustand → Bericht → Server.

Eine Website hat mehr Schichten, als das Dashboard zeigt

Im WordPress-Dashboard sehen Sie Updates für WordPress selbst, für Plugins und Themes. Darunter liegen weitere Schichten, die genauso Sicherheitslücken haben können, aber jeweils einen eigenen Update-Weg:

Eine Lücke in einer unteren Schicht betrifft jede Website auf dem Server, auch wenn WordPress, Plugins und Theme aktuell sind. Genau das war bei PHP2Shell der Fall: Betroffen war laut PHP-Team jede PHP-Installation, die Webseiten ausliefert, egal welche Anwendung darauf läuft.^[1]

Ganz unten liegt die Firmware, die Software, die einen Server startet, bevor das Betriebssystem läuft. Auch dort gibt es Lücken: Am 27. Oktober 2026 wurde CVE-2026-97631 bekannt, ein Fehler in dem Grundcode, auf dem die Firmware der meisten Serverhersteller aufbaut. Schweregrad: 9,5 von 10.^[11] Der Fehler steckt im Start über das Netzwerk. Angreifer können darüber Code ausführen, bevor Betriebssystem und Schutzfunktionen wie Secure Boot greifen.

Für Websites ist das Risiko kleiner, als die Schlagzeilen vermuten lassen: Der Angreifer muss bereits im lokalen Netz des Servers sein, und der Server muss gerade über das Netzwerk starten. Angriffe waren bis Ende Oktober keine bekannt. Das Update liefert der Hardwarehersteller, eingespielt wird es vom Rechenzentrum.

Aus der Praxis: PHP2Shell aus Sicht eines Hosters

Wir betreiben eigene Server und haben die Tage rund um PHP2Shell so erlebt:

21. Oktober, früher Morgen: Die ersten Warnungen kommen über die Sicherheits-Newsdienste, die wir verfolgen. Details zu den Lücken waren schon vor dem geplanten Termin im Umlauf;^[7] das PHP-Team hatte die Updates für 14 Uhr UTC angekündigt.^[1]

21. Oktober, im Lauf des Tages: Die gepatchten PHP-Versionen stehen für unsere Server bereit, wir spielen sie noch am selben Tag auf allen Maschinen ein. Plesk hat dabei auch die alten Versionen 7.4, 8.0 und 8.1 gepatcht, und zwar unter derselben Versionsnummer, nur mit neuem Erstellungsdatum.^[4] An der Versionsnummer allein lässt sich also nicht ablesen, ob eine Installation sicher ist.

Die Verwaltungsoberfläche extra: Plesk selbst läuft mit einer eigenen PHP-Version, und auch die bekam ein eigenes Update.^[4] Eine weitere Schicht, ein weiterer Update-Weg.

23. Oktober: Das PHP-Team meldet eine weitere Schwachstelle (CVE-2026-115560), stuft das Risiko aber als unwahrscheinlich ein. Bis zum nächsten regulären Update empfiehlt es, den Upload-Fortschritt in PHP-Sessions abzuschalten.^[1][5] Auf unseren Servern war diese Funktion schon vorher abgeschaltet. Auch das ist eine Servereinstellung, die in WordPress niemand sieht.

Für uns war das Routine. Der Wechsel auf eine neue PHP-Version ist an sich nicht schwer, solange man die Regeln einhält: regelmäßig aktualisieren und die Kompatibilität im Blick behalten. Schwierig wird es bei Websites, die jahrelang nicht gepflegt wurden. Sie hängen oft auf einer alten PHP-Version fest, weil Plugins oder Theme mit neueren Versionen nicht mehr laufen. Dann wird aus einem Sicherheitsupdate ein Umbau unter Zeitdruck. Sicherheit ist deshalb kein Projekt, das irgendwann abgeschlossen ist, sondern ein laufender Prozess.

Welche PHP-Version braucht WordPress?

WordPress empfiehlt PHP 8.3 oder neuer. Die Software läuft zwar auch noch mit PHP 7.4, diese Versionen haben aber ihr offizielles Lebensende erreicht und können die Website angreifbar machen, so WordPress selbst.^[2] Entscheidend ist, wie lange eine Version noch Sicherheitsupdates bekommt:^[3]

• Aktive Weiterentwicklung
• Nur noch Sicherheitsupdates

• PHP 8.5Aktive Weiterentwicklung bis 12/2027 · Sicherheitsupdates bis 12/2029bis 12/2029
• PHP 8.4Aktive Weiterentwicklung bis 12/2026 · Sicherheitsupdates bis 12/2028bis 12/2028
• PHP 8.3Aktive Weiterentwicklung bis 12/2025 · Sicherheitsupdates bis 12/2027bis 12/2027
• PHP 8.2Aktive Weiterentwicklung bis 12/2024 · Sicherheitsupdates bis 12/2026bis 12/2026
• PHP 8.1Aktive Weiterentwicklung bis 11/2023 · Sicherheitsupdates bis 12/2025keine Updates mehr

202220232024202520262027202820292030

Heute

Quelle: php.net, Supported Versions (Stand Oktober 2026)

Trotzdem läuft laut W3Techs gut jede dritte Website mit PHP noch auf Version 7 oder 5.^[6] Unsere Empfehlung: Bleiben Sie immer auf einer aktuellen PHP-Version und wechseln Sie rechtzeitig, bevor die Sicherheitsupdates enden, nicht erst, wenn die nächste Lücke bekannt wird.

So finden Sie die PHP-Version Ihrer WordPress-Website

1. Melden Sie sich als Administrator in WordPress an.
2. Öffnen Sie im Menü Werkzeuge → Website-Zustand.
3. Wechseln Sie zum Reiter Bericht und klappen Sie den Bereich Server auf. Dort steht die PHP-Version.

Ob ein bestimmter Sicherheitsfix enthalten ist, verrät die Versionsnummer nicht immer, wie das Beispiel Plesk zeigt. Im Zweifel fragen Sie Ihren Hoster.

PHP-Version aktualisieren: in dieser Reihenfolge

1. Sicherung anlegen, von Dateien und Datenbank.
2. WordPress, Plugins und Theme aktualisieren. Neue PHP-Versionen setzen oft aktuelle Plugins voraus.
3. Auf einer Testkopie prüfen, ob alles mit der neuen PHP-Version läuft. Viele Hoster bieten dafür eine Staging-Umgebung an.
4. PHP-Version umstellen, im Kundenmenü des Hosters oder in der Server-Verwaltung.
5. Website durchklicken: Formulare, Shop und Kasse testen und das Fehlerprotokoll prüfen.

Alte PHP-Versionen: Auf Notfall-Patches ist kein Verlass

Für PHP2Shell hat das PHP-Team ausnahmsweise minimale Korrekturen auch für PHP 7.4, 8.0 und 8.1 bereitgestellt, als Quellcode für alle, die PHP selbst bauen.^[1] Einige Anbieter wie Plesk haben daraus Updates gemacht.^[4] Darauf verlassen kann man sich nicht: Offiziell bekommen diese Versionen keine Updates mehr. Wer noch auf einer davon läuft, sollte den Wechsel jetzt planen und nicht erst bei der nächsten Lücke.

Hinzu kommen Kosten: Große Hoster wie IONOS und STRATO berechnen für veraltete PHP-Versionen inzwischen einen monatlichen Aufpreis, den sogenannten „PHP Extended Support“. Bei STRATO gilt das für PHP 8.1 seit dem 2. März 2026.^[9][10] Eine alte PHP-Version ist also nicht nur ein Risiko, sie kostet auch laufend Geld.

Warum ältere Websites auf alten Versionen festhängen

Der größte Bruch kam mit PHP 8.0. Funktionen wie create_function() und each(), die ältere Plugins noch nutzen, wurden entfernt. Viele frühere Warnungen lösen seitdem Fehler aus, die eine Seite komplett abbrechen lassen. Und PHP vergleicht anders: 0 == "" ist seit PHP 8 falsch.^[8] Code, der unter PHP 7.4 jahrelang lief, kann mit PHP 8 also sofort ausfallen.

Wer jede Version mitgeht, merkt davon wenig, weil Plugins und Theme laufend nachziehen. Wer von PHP 7.4 direkt auf 8.4 springt, muss dagegen oft Plugins austauschen oder das Theme anpassen lassen.

Wer sich um welche Schicht kümmert

Mit der WordPress Wartung halten wir WordPress, Plugins und Themes aktuell. Liegt Ihre Website auf unseren eigenen Servern im Managed WordPress Hosting, kümmern wir uns zusätzlich um die Schichten darunter: PHP, Server-Verwaltung, Betriebssystem und Bibliotheken. Für die Firmware ist das Rechenzentrum zuständig. Bei Lücken wie CVE-2026-97631 klären wir mit dem Betreiber, ob unsere Server betroffen sind und wann Updates eingespielt werden.

Und falls es doch passiert ist: Was Sie in der ersten Stunde tun sollten, lesen Sie unter WordPress gehackt.

Ihr nächster Schritt

Stellen Sie Ihrem Hoster oder Ihrer Agentur drei Fragen:

1. Welche PHP-Version läuft auf meiner Website, und bis wann bekommt sie Sicherheitsupdates?
2. Wie schnell werden Sicherheitsupdates für PHP und Server eingespielt, und wer kümmert sich darum?
3. Wer prüft vor einem PHP-Wechsel, ob Plugins und Theme mit der neuen Version laufen?

Bekommen Sie auf eine dieser Fragen keine klare Antwort, sprechen Sie uns an. Wir sehen nach und sagen Ihnen, was zu tun ist.

Häufige Fragen zur PHP-Version in WordPress

Welche PHP-Version empfiehlt WordPress?

WordPress empfiehlt PHP 8.3 oder neuer. Ältere Versionen ab 7.4 funktionieren zwar noch, bekommen aber keine Sicherheitsupdates mehr.

Wie finde ich die PHP-Version meiner WordPress-Website?

In WordPress unter Werkzeuge → Website-Zustand → Bericht, im Bereich Server. Alternativ nennt Ihnen Ihr Hoster die Version.

Reicht es, WordPress und Plugins aktuell zu halten?

Nein. PHP, die Server-Verwaltung, das Betriebssystem, Bibliotheken und die Firmware der Server haben eigene Updates, die im WordPress-Dashboard nicht auftauchen. Die Lücken „PHP2Shell“ vom Oktober 2026 steckten zum Beispiel in PHP selbst.

Wie lange bekommt PHP 8.2 noch Sicherheitsupdates?

Bis zum 31. Dezember 2026. Danach sollten Websites mindestens auf PHP 8.3 laufen, besser auf 8.4 oder 8.5.

Kostet eine alte PHP-Version extra?

Bei manchen Hostern ja. IONOS und STRATO berechnen für PHP-Versionen ohne offizielle Updates einen monatlichen Aufpreis („PHP Extended Support“). Den spart, wer rechtzeitig auf eine aktuelle Version wechselt.

Kann ein PHP-Update meine Website lahmlegen?

Das kann passieren, wenn Plugins oder Theme veraltet sind und mit der neuen Version nicht zurechtkommen. Deshalb vorher alles aktualisieren, eine Sicherung anlegen und die Umstellung auf einer Testkopie prüfen.

Quellen

• [1] PHP, Security Advisory vom 21.10.2026, Ankündigung vom 20.10.2026 und Informational Advisory vom 23.10.2026: php.net
• [2] WordPress, Requirements: wordpress.org/about/requirements
• [3] PHP, Supported Versions: php.net/supported-versions.php
• [4] Digital Applied, „PHP2Shell fixes by distro, control panel and PHP version“, 22.10.2026, mit Verweis auf die Plesk-Wissensdatenbank: digitalapplied.com
• [5] The Hacker News, 23.10.2026: thehackernews.com
• [6] W3Techs, Usage statistics of PHP, Stand 22.10.2026: w3techs.com
• [7] SecurityWeek, „PHP2Shell: Mass Exploitation Looms for Leaked Critical PHP Flaws“: securityweek.com
• [8] PHP, Backward Incompatible Changes in PHP 8.0: php.net
• [9] IONOS, PHP Extended Support: ionos.com
• [10] STRATO, Was ist der STRATO PHP Extended Support?: strato.de
• [11] Ars Technica, „Code-execution flaw in UEFI firmware affects most servers on planet Earth“, 27.10.2026: arstechnica.com

Bildnachweis: Beitragsbild KI-generiert auf Grundlage eines Fotos von Maximilian Breitmar, Terminal-Foto KI-generiertes Symbolbild.