PHP2Shell bei WordPress beheben: PHP sicher aktualisieren

Kurz gesagt: Ein WordPress-Update schließt PHP2Shell nicht. Die Lücke steckt in PHP, dem Programm auf dem Server, das WordPress ausführt. Sie müssen dafür sorgen, dass Ihre Website auf einer abgesicherten PHP-Version läuft, und vorher prüfen, ob Plugins und Theme damit klarkommen.

Warum WordPress-Updates hier nicht helfen

WordPress ist in der Programmiersprache PHP geschrieben. Auf dem Server läuft ein PHP-Programm, das WordPress ausführt. Die Lücken CVE-2026-109618 und CVE-2026-109619 stecken in diesem PHP-Programm. Angreifer brauchen dafür weder ein Passwort noch ein unsicheres Plugin.

Abgesichert sind PHP 8.5.12, 8.4.27, 8.3.36 oder 8.2.35 sowie korrigierte Pakete von Linux-Distributionen.

Schritt 1: PHP-Version im WordPress-Backend ablesen

1. Melden Sie sich in WordPress als Administrator an.
2. Öffnen Sie Werkzeuge → Website-Zustand.
3. Wechseln Sie zum Reiter Bericht und klappen Sie Server auf.
4. Dort steht die PHP-Version, zum Beispiel 8.3.20.

WordPress zeigt außerdem unter „Website-Zustand“ eine Warnung, wenn Ihre PHP-Version veraltet ist.

Schritt 2: Wo wird PHP aktualisiert?

Das hängt davon ab, wo Ihre Website liegt:

• Webhosting (IONOS, Strato, All-Inkl und ähnliche): Ihr Hoster spielt das Sicherheitsupdate ein. Sie wählen nur die PHP-Version im Kundenmenü. Siehe Webhosting.
• Server mit Plesk oder cPanel: siehe Plesk oder cPanel.
• Managed WordPress Hosting (z. B. WP Engine, Raidboxes, Kinsta): Der Anbieter kümmert sich in der Regel selbst. Fragen Sie nach, ob das Update eingespielt ist.
• Eigener Server: siehe Debian und Ubuntu oder AlmaLinux, Rocky und RHEL.

Läuft Ihre Website noch mit PHP 7.4, 8.0 oder 8.1, gibt es keine offiziellen Updates mehr. Dann müssen Sie auf mindestens PHP 8.2 wechseln. Mehr dazu unter alte PHP-Version.

Schritt 3: WordPress auf den Wechsel vorbereiten

Das Sicherheitsupdate innerhalb einer Version (z. B. 8.3.20 auf 8.3.36) ist für WordPress fast immer unproblematisch. Ein Wechsel der Hauptversion (z. B. 7.4 auf 8.2) braucht Vorbereitung:

1. Komplette Sicherung anlegen: Dateien und Datenbank. Nutzen Sie die Sicherung Ihres Hosters oder ein Plugin wie UpdraftPlus.
2. WordPress, Plugins und Theme aktualisieren. Aktuelle Versionen sind fast immer mit PHP 8.2 und neuer kompatibel.
3. Plugins ausmisten. Deaktivierte oder nicht mehr benötigte Plugins löschen. Plugins, die seit über zwei Jahren kein Update bekommen haben, sind die häufigste Ursache für Fehler nach einem PHP-Wechsel. Das Datum des letzten Updates steht auf der Plugin-Seite bei wordpress.org.
4. Wenn möglich zuerst testen: Viele Hoster bieten eine Staging-Kopie an, eine Testversion Ihrer Website. Stellen Sie dort zuerst PHP um und klicken Sie sich durch.

Welche Risiken hat das PHP-Update?

Neuere PHP-Versionen sind strenger. Code, der früher nur eine Warnung erzeugt hat, führt jetzt zu einem Abbruch. Was Sie und Ihre Kunden dann sehen können:

• „Es gab einen kritischen Fehler auf dieser Website“ oder eine komplett weiße Seite.
• Ein Plugin fällt aus, zum Beispiel das Kontaktformular, der Cookie-Banner oder der Seitenbaukasten.
• Der Shop funktioniert nur teilweise: Warenkorb, Zahlung oder Rechnungs-PDF brechen ab. Prüfen Sie das bei WooCommerce besonders genau.
• Ein gekauftes Premium-Theme ohne Updates-Lizenz ist veraltet und nicht kompatibel.

WordPress hat dafür einen eingebauten Schutz: Bei einem kritischen Fehler bekommt die Admin-E-Mail-Adresse eine Nachricht mit einem Link zum Wiederherstellungsmodus. Darüber können Sie das fehlerhafte Plugin deaktivieren.

Ihr Notfallplan: Stellen Sie die vorherige PHP-Version im Kundenmenü wieder ein. Die Website läuft dann wie vorher. Lassen Sie anschließend das fehlerhafte Plugin oder Theme ersetzen oder anpassen. Bleiben Sie nicht dauerhaft auf der alten Version.

Schritt 4: Nach dem Update testen

Gehen Sie diese Liste in Ruhe durch:

• Startseite und zwei, drei Unterseiten laden
• Kontaktformular abschicken und prüfen, ob die E-Mail ankommt
• Im Backend anmelden und einen Beitrag speichern
• Bei Shops: eine Testbestellung bis zur Bestellbestätigung
• Unter Werkzeuge → Website-Zustand nach neuen Warnungen schauen

So prüfen Sie, ob es geklappt hat

Unter Werkzeuge → Website-Zustand → Bericht → Server muss jetzt die neue Version stehen. Zusätzlich können Sie Ihre Website mit unserem kostenlosen Check prüfen. Mehr Hintergrund zu WordPress finden Sie unter PHP2Shell und WordPress.