PHP2Shell und WordPress: Was Betreiber jetzt tun müssen
WordPress läuft mit PHP. Deshalb betreffen die Lücken PHP2Shell (CVE-2026-109618 und CVE-2026-109619) jede WordPress-Website, deren Server eine ungepatchte PHP-Version ausführt, egal wie aktuell WordPress, Theme und Plugins sind.
Reicht ein WordPress-Update?
Nein. Die Lücken stecken im PHP-Interpreter auf dem Server, nicht in WordPress, Themes oder Plugins. WordPress- und Plugin-Updates bleiben wichtig, schließen PHP2Shell aber nicht. Aktualisiert werden muss PHP selbst.
So finden Sie die PHP-Version in WordPress
Website-Zustand öffnen
Im WordPress-Backend unter Werkzeuge → Website-Zustand.
Reiter „Bericht“ wählen
Dort im Abschnitt Server steht die PHP-Version, mit der Ihre Website läuft.
Mit den korrigierten Versionen vergleichen
Abgesichert sind PHP 8.5.12, 8.4.27, 8.3.36, 8.2.35 und neuer im jeweiligen Versionszweig, oder ein gepatchtes Paket Ihrer Distribution.
Was WordPress-Betreiber jetzt tun sollten
- Shared Hosting: Fragen Sie Ihren Hoster, ob PHP bereits aktualisiert wurde. Viele Hoster spielen die Updates zentral ein.
- Eigener Server: PHP aktualisieren und PHP-FPM bzw. Apache neu starten.
- Im Hosting-Panel lässt sich oft eine neuere PHP-Version wählen. Prüfen Sie danach, ob Theme und Plugins damit funktionieren.
- Logs prüfen: Da Angriffe schon vor der Veröffentlichung beobachtet wurden, lohnt ein Blick auf unbekannte PHP-Dateien im Webverzeichnis.
Alle Maßnahmen im Detail: Was Sie jetzt tun sollten.
Mehrere WordPress-Websites?
Agenturen und Freelancer prüfen alle Kundenseiten auf einmal mit der Sammelprüfung.
Jetzt Ihre Website prüfen
Kostenlos und ohne Anmeldung: Wir prüfen, ob Ihre Website PHP verwendet und ob die erkennbare Version abgesichert ist.