PHP-Version in WordPress aktualisieren, Schritt für Schritt nach PHP2Shell

WindowsMacAktualisiert

PHP aktualisierst du nicht in WordPress selbst. PHP ist auf dem Server deines Hosters installiert, deshalb änderst du es in den Einstellungen deines Hostings oder bittest den Hoster darum. Nach dem PHP-Sicherheitshinweis vom 21. Oktober 2026 solltest du auf 8.5.12, 8.4.27, 8.3.36 oder 8.2.35 sein; laut PHP-Projekt ist das Update die einzige vollständige Lösung.

Kurze Antwort

Erstell ein Backup, dann aktualisiere WordPress, Themes und Plugins unter Dashboard > Aktualisierungen. Ändere die PHP-Version im Kundenmenü deines Hosters, in cPanel heißt das Werkzeug MultiPHP Manager. Prüf danach die Website und die neue Version unter Werkzeuge > Website-Zustand > Bericht > Server. Geht es nicht selbst, frag deinen Hoster.

Warum muss PHP jetzt aktualisiert werden?

Am 21. Oktober 2026 hat das PHP-Projekt Korrekturen für zwei kritische Lücken veröffentlicht, CVE-2026-109618 und CVE-2026-109619. Laut der US-Behörde CISA sind sie als „php2shell“ bekannt. Der PHP-Hinweis sagt, sie könnten Codeausführung aus der Ferne ohne Anmeldung ermöglichen und beträfen alle PHP-Installationen, die Webanfragen verarbeiten. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) nennt WordPress ausdrücklich unter den Projekten, die mit PHP entwickelt wurden, und schreibt: Ein Update der Anwendungen reicht nicht aus, die PHP-Laufzeitumgebung muss ebenfalls gepatcht werden.

Die korrigierten Versionen sind 8.5.12, 8.4.27, 8.3.36 und 8.2.35. Unsere Erklärung zur PHP-Sicherheitslücke beschreibt die Lücken selbst. Wenn du deine Version noch nicht kennst, beginne mit So prüfst du die PHP-Version deiner Website.

Wie sichere ich WordPress vor dem PHP-Wechsel?

Sichere beide Teile der Website. Die WordPress-Anleitung zu Backups erklärt: Die Datenbank enthält Beiträge und Kommentare, die Dateien enthalten alles andere, also WordPress selbst, Themes, Plugins, Uploads und die wp-config.php. Ein Backup der Dateien sichert die Datenbank nicht mit, du brauchst also beides.

  1. Prüf, ob dein Hoster ein Backup-Werkzeug anbietet.
  2. Wenn nicht, nutze ein Backup-Plugin, oder exportiere die Datenbank mit phpMyAdmin und kopiere die Dateien per FTP.
  3. Bewahre Kopien an mehr als einem Ort auf. WordPress rät zu mindestens 3 bis 5 aktuellen Backups an verschiedenen Orten, etwa auf dem Server, in einem Cloud-Speicher und auf deinem eigenen Computer.

Die deutsche WordPress-Seite zum PHP-Update nennt den Grund schlicht: Ein Backup ermöglicht es, die Website wiederherzustellen, falls etwas schiefgeht.

Wie aktualisiere ich zuerst WordPress, Themes und Plugins?

Laut der WordPress-Seite zum PHP-Update bringst du vor dem PHP-Wechsel alles auf den neuesten Stand und prüfst danach, ob die Website wie erwartet funktioniert.

  1. Ruf im WordPress-Dashboard den Menüpunkt Dashboard > Aktualisierungen auf.
  2. Wird eine neue WordPress-Version angeboten, klick auf Jetzt aktualisieren.
  3. Aktualisiere alle Plugins und Themes, für die Updates warten.
  4. Öffne deine Website und klick dich durch die wichtigsten Seiten, etwa Shop oder Kontaktformular.

Um zu prüfen, ob Themes und Plugins mit einer neueren PHP-Version zurechtkommen, empfiehlt WordPress das Plugin PHP Compatibility Checker. Dieses Plugin ist laut WordPress „nicht perfekt und kann Elemente übersehen oder Fehlalarme auslösen“. Meldet es Probleme, rät WordPress, den Entwickler des Themes oder Plugins zu kontaktieren oder auf WordPress.org ein Theme oder Plugin mit ähnlicher Funktion zu suchen.

Wie ändere ich die PHP-Version in cPanel?

Die cPanel-Dokumentation beschreibt den MultiPHP Manager, mit dem du die PHP-Version für jede Domain in deinem Konto festlegst. cPanel führt ihn unter Software. Je nach Hoster erscheinen die Bezeichnungen auf Englisch.

  1. Melde dich in cPanel an und öffne MultiPHP Manager.
  2. Setz das Häkchen neben der Domain, die du ändern möchtest.
  3. Wähl im Menü PHP Version eine Version aus.
  4. Klick auf Apply.

Laut cPanel zeigt das Menü nur Versionen, die auf dem Server installiert und für dein Konto freigegeben sind, und installiert werden sie vom Server-Administrator. Welche genaue Version du innerhalb eines Zweigs bekommst, etwa 8.3.36, hängt also davon ab, was dein Hoster installiert hat. Darum lohnt die Kontrolle danach.

Manche Hoster nutzen andere Oberflächen oder anders benannte PHP-Einstellungen. Die WordPress-Seite zum PHP-Update verlinkt eine Liste von Hostern mit Anleitungen und rät, dem Hoster eine E-Mail zu schreiben, wenn er nicht dabei ist. Einen Beispieltext dafür bietet sie gleich mit an.

Wie prüfe ich die Website nach dem PHP-Update?

Erst die Version bestätigen, dann die Website selbst prüfen.

  1. Geh in WordPress auf Werkzeuge > Website-Zustand, öffne den Tab Bericht und erweitere Server.
  2. Scroll zu PHP-Version und prüf, ob sie einer korrigierten Version entspricht: 8.5.12, 8.4.27, 8.3.36 oder 8.2.35.
  3. Ruf die wichtigsten Seiten deiner Website auf, und melde dich im Dashboard ab und wieder an.
  4. Sieh im Website-Zustand nach, ob neue Probleme gemeldet werden.

Geht etwas kaputt, kannst du laut WordPress die PHP-Version selbst zurückstellen oder dich an deinen Hoster oder einen professionellen Webentwickler wenden. Musst du ein Backup einspielen, bitte zuerst den Hoster, die zuvor verwendete PHP-Version wiederherzustellen, und spiel das Backup danach ein.

Wann sollte ich lieber den Hoster fragen?

Frag deinen Hoster, wenn einer dieser Punkte zutrifft:

  1. Bei der Domain steht im MultiPHP Manager „Inherited“. Laut cPanel nutzt sie dann die Standardversion des Systems, die nur der Server-Administrator festlegen kann.
  2. Die benötigte Version fehlt im Menü. Laut cPanel erscheinen Versionen nur, wenn der Administrator sie installiert hat.
  3. Du findest nirgends eine PHP-Einstellung, oder dein Hosting wird für dich verwaltet.
  4. Deine Website läuft mit PHP 8.1 oder älter. Laut PHP-Projekt erhalten diese Versionen keine Updates mehr vom Projekt; manche Anbieter liefern eigene Korrekturen nach. Frag, ob dein Hoster eine eingespielt hat, oder wechsle auf eine unterstützte Version. Das BSI rät Betreibern solcher Versionen grundsätzlich zur Migration.

Kann das Update nicht sofort erfolgen, empfiehlt das BSI, eine vorübergehende Trennung vom Internet zu erwägen; erst wenn auch das nicht geht, sollen mindestens die vorübergehenden Einstellungen aus dem PHP-Hinweis gesetzt werden. Der PHP-Hinweis sagt selbst, diese Einstellungen „do not make an installation safe“. Bei Shared Hosting ist das Update selbst das, worum du bitten solltest.

Weitere Fragen

Kann ich PHP im WordPress-Dashboard aktualisieren?

Nein. Laut der WordPress-Seite zum PHP-Update ist PHP auf dem Server installiert; du änderst es in den Einstellungen deines Hostings oder lässt es den Hoster tun. Das Dashboard zeigt deine Version unter Werkzeuge > Website-Zustand > Bericht > Server an und kann auf eine nötige PHP-Aktualisierung hinweisen, die Änderung selbst passiert aber auf dem Server.

Welche PHP-Version sollte WordPress nutzen?

WordPress empfiehlt derzeit PHP 8.3 oder höher. Für PHP2Shell sind laut PHP-Hinweis 8.5.12, 8.4.27, 8.3.36 und 8.2.35 korrigiert. Die Seite zu den unterstützten Versionen zeigt, dass 8.2 nur noch bis 31. Dezember 2026 Sicherheitsupdates bekommt.

Kann ein PHP-Update meine WordPress-Website kaputt machen?

Das kann passieren, wenn ein Theme oder Plugin mit der neueren Version nicht zurechtkommt. Deshalb rät WordPress, vorher ein Backup zu erstellen, alles zu aktualisieren und den PHP Compatibility Checker zu nutzen. Geht trotzdem etwas kaputt, stell die Version zurück oder frag den Hoster, während du das Problem löst.

Reicht es, WordPress zu aktualisieren, um PHP2Shell zu beheben?

Nein. Die Lücken stecken in PHP, nicht in WordPress. Das BSI schreibt ausdrücklich, ein Update der Anwendungen reiche nicht aus. WordPress, Themes und Plugins aktuell zu halten, gehört trotzdem zu den Schritten vor einem PHP-Wechsel.

Was, wenn meine Website schon manipuliert worden sein könnte?

Das BSI rät Betreibern, exponierte PHP-Webserver verstärkt auf Auffälligkeiten zu beobachten und sicherzustellen, dass keine Kompromittierung stattgefunden hat. Als Anzeichen nennt es etwa neu erstellte oder veränderte PHP-Dateien. Unser Ratgeber Website gehackt: was tun? zeigt die ersten Schritte für eine private Website.

Quellen