Mein Hoster sagt, PHP ist gepatcht. Was muss ich noch tun?

WindowsMacAktualisiert 2026-10-24

Der Patch deines Hosters aktualisiert PHP, die Sprache, mit der seine Server deine Website ausführen. Das PHP-Projekt hat die Korrekturen am 21. Oktober 2026 in PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35 veröffentlicht. Die Software, die du darauf installiert hast, ist eine eigene Aufgabe: Laut WordPress-Leitfaden zur Absicherung kümmern sich Hoster um die Infrastruktur, sind aber für die Anwendung, die du installierst, nicht verantwortlich.

Kurze Antwort

Der Patch deines Hosters deckt PHP auf seinen Servern ab. In deinem eigenen Konto aktualisierst du WordPress oder dein CMS samt Plugins und Themes. Prüf, welche PHP-Version jede deiner Websites tatsächlich nutzt, denn in cPanel kann jede Domain eine eigene haben. Such nach Spuren einer Kompromittierung, wie es das BSI rät, und ändere deine Passwörter, wenn etwas auffällt.

Was deckt der PHP-Patch meines Hosters ab?

PHP selbst. Der PHP-Hinweis vom 21. Oktober 2026 sagt, zwei Lücken, CVE-2026-109618 und CVE-2026-109619, beträfen alle PHP-Installationen, die Webanfragen verarbeiten, und könnten Codeausführung aus der Ferne ohne Anmeldung ermöglichen. Einfach gesagt: Jemand könnte eigenen Code auf dem Server ausführen, ohne sich einzuloggen. Der Hinweis nennt PHP-FPM, Apache mit mod_php, php-cgi, FrankenPHP und LiteSpeed, alles Server-Software. Bei Shared Hosting oder Managed Hosting liegt dieses Update also beim Hoster.

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) betont in seinem IT-Sicherheitshinweis (Version 1.2 vom 22.10.2026), dass die Lücken in der PHP-Laufzeitumgebung selbst liegen, nicht in bestimmten Anwendungen. Der Patch aktualisiert aber weder WordPress noch ein Theme oder ein Plugin. Die haben eigene Updates.

Zur Ausnutzung, Stand 23. Oktober 2026: Das BSI schreibt, ihm sei noch keine erfolgreiche Ausnutzung in der Breite bekannt, Berichte über Ausnutzungsversuche zeigten aber, dass Angriffe versucht werden. Der PHP-Hinweis beschreibt einen demonstrierten Exploit gegen Apache mit mod_php, die Einrichtung, die er als am stärksten gefährdet einstuft.

Muss ich WordPress, Plugins und Themes trotzdem aktualisieren?

Ja. Der WordPress-Leitfaden zur Absicherung rät, WordPress immer auf dem neuesten Stand zu halten, weil ältere Versionen keine Sicherheitsupdates mehr bekommen. Dasselbe gilt laut Leitfaden für Plugins, und Plugins, die du nicht nutzt, solltest du löschen. Mach vorher ein Backup, wie es die WordPress-Anleitung zum Aktualisieren empfiehlt.

Melde dich im Dashboard an und öffne Dashboard > Aktualisierungen.
Wird eine neue WordPress-Version angezeigt, klick auf „Jetzt aktualisieren“.
Hak auf derselben Seite die Plugins und Themes an, für die Updates bereitstehen, und klick auf „Plugins aktualisieren“ beziehungsweise „Themes aktualisieren“. Der Haken oben in einem Abschnitt wählt alle aus.
Öffne Plugins > Installierte Plugins und entferne Plugins, die du nicht mehr nutzt.

Laut WordPress spielen die meisten Websites kleinere Versionen und Sicherheitsversionen inzwischen automatisch im Hintergrund ein. Eine Hauptversion braucht aber weiterhin deinen Klick auf „Jetzt aktualisieren“.

Mit welcher PHP-Version läuft meine Website wirklich?

Prüf es, statt es anzunehmen. Laut cPanel-Dokumentation kann jede Domain jede installierte PHP-Version nutzen. Die Version, die dein Hoster gepatcht hat, und die Version jeder deiner Websites solltest du also getrennt bestätigen. PHP-Version prüfen zeigt, wo du in WordPress und in cPanel nachsiehst. Läuft eine Website mit einer älteren Version, erklärt PHP-Version in WordPress aktualisieren den Wechsel. PHP 8.1 und älter bekommen vom PHP-Projekt keine Updates mehr, dafür brauchst du also ein Gespräch mit deinem Hoster.

Sollte ich nach Spuren einer Kompromittierung suchen?

Ja, wenn zwischen Bekanntwerden und Patch Zeit verging. Das BSI schreibt, Organisationen sollten sicherstellen, dass ihre Systeme geschützt sind und keine Kompromittierung stattgefunden hat. Als Hinweise auf eine Kompromittierung nennt es neu erstellte oder veränderte PHP-Dateien, ausführbare Dateien und mögliche Webshells auf dem Webserver. Ein neueres PHP schließt die Lücke, sagt aber nichts darüber, ob vorher etwas passiert ist.

Öffne Benutzer > Alle Benutzer und klick über der Tabelle auf den Filter „Administrator“. Die WordPress-FAQ zu gehackten Websites nennt neu angelegte Benutzer als deutliches Zeichen.
Öffne in der Google Search Console den Bericht „Sicherheitsprobleme“. Er zeigt laut Google, ob deine Website gehackt wurde oder Besuchern schaden könnte.
Frag deinen Hoster, ob er in deinem Konto etwas Auffälliges festgestellt hat.

Die einzelnen Prüfungen beschreibt WordPress gehackt? Die Anzeichen ausführlicher.

Wann sollte ich meine Passwörter ändern?

Sofort, wenn etwas auffällt. Die WordPress-FAQ rät, jeden Zugang zu ändern: FTP oder SFTP, den WordPress-Admin, cPanel oder ein anderes Kundenmenü und die Datenbank, und zwar für alle Nutzer mit Zugang, nicht nur für dich. Website gehackt, was tun? nennt die Passwörter in der richtigen Reihenfolge, zusammen mit den übrigen ersten Schritten.

Was sollte ich meinen Hoster fragen?

Kurze, sachliche Fragen bringen die brauchbarsten Antworten.

Mit welcher PHP-Version läuft jede meiner Websites gerade, und ist es 8.5.12, 8.4.27, 8.3.36 oder 8.2.35?
Steht bei einer meiner Domains „Inherited“: Welche Standardversion hat der Server?
Läuft eine Website mit PHP 8.1 oder älter: Haben Sie eine zurückportierte Korrektur eingespielt? Laut PHP-Projekt bieten manche Anbieter solche an.
Haben Sie session.upload_progress.enabled=0 gesetzt, wie es der informative PHP-Hinweis vom 23. Oktober bis zur nächsten regulären Fehlerbehebungsversion vorschlägt?
Haben Sie in meinem Konto oder auf dem Server, den ich mir mit anderen teile, Hinweise auf eine Kompromittierung gesehen? Laut WordPress-FAQ kann ein Hack auf Shared Hosting mehr als eine Website betreffen.
Welche Backups meiner Website haben Sie? WordPress rät, den Hoster nach seinen Backups zu fragen.

Weitere Fragen

Ist mein Hoster von PHP2Shell betroffen?

Betreibt er PHP, um Websites auszuliefern, war er betroffen, bis er aktualisiert hat. Das BSI nennt als betroffene Versionen „alle PHP-Versionen“ und führt cPanel unter den mindestens teilweise betroffenen Produkten. Die Lücken selbst erklärt Sicherheitslücke in PHP (PHP2Shell) einfach erklärt.

Mein Hoster hat PHP gepatcht. Ist meine Website jetzt sicher?

Die beiden PHP-Lücken sind in den korrigierten Versionen behoben. Der WordPress-Leitfaden zur Absicherung weist aber darauf hin, dass auf einem geteilten Server auch deine Website kompromittiert werden kann, wenn eine andere Website darauf betroffen ist. Deine eigenen Updates, die Versionsprüfung und die Suche nach Spuren bleiben wichtig.

Ersetzt eine Web Application Firewall den Patch?

Nein. Laut BSI könnte eine Web Application Firewall eine Ausnutzung verhindern oder erschweren, wenn sie passende Erkennungsregeln hat. Vollständigen Schutz bieten laut BSI nur das Patchen oder die Trennung vom Internet.

Worum ging es im PHP-Hinweis vom 23. Oktober?

Um einen separaten, unwahrscheinlichen Weg zur Codeausführung, CVE-2026-115560. Laut PHP-Projekt braucht er eine ungewöhnliche Kombination aus Konfiguration und Anwendungscode. Es schlägt vor, bis zur nächsten regulären Version session.upload_progress.enabled=0 zu setzen. Diese Einstellung liegt auf dem Server, also beim Hoster.

Sollte meine Website offline gehen, bis der Hoster patcht?

Das BSI empfiehlt, eine vorübergehende Trennung vom Internet zu erwägen, wenn Patches nicht sofort eingespielt werden können. Ist deine Website nachweislich auf einer korrigierten Version, gilt dieser Rat für sie nicht mehr.