WordPress und die PHP-Lücke: Was Sie heute veranlassen

WordPress ist in PHP geschrieben. Jede angeforderte Seite wird serverseitig durch PHP gebaut. CVE-2026-109618 und CVE-2026-109619 stecken laut Help Net Security in PHP selbst, ab PHP 5. Angreifer brauchen kein schwaches Plugin: Der Server ist das Ziel.

Öffnen Sie Werkzeuge > Website-Zustand > Bericht und Server. Dort steht die Version, beispielsweise 8.2.34.

• 8.2.35, 8.3.36, 8.4.27, 8.5.12 oder höher derselben Reihe: aktualisiert.
• Niedrigere Zahl dieser Reihen: heute den Hoster aktualisieren lassen.
• 8.1 oder niedriger: keine Korrektur; neuere Reihe nötig.

Kein Verwaltungszugriff? Der kostenlose PHP-Check von Marketing Scan liefert einen ersten äußeren Hinweis.

Shared-Hoster aktualisieren PHP zentral. Meist können Sie im Panel selbst eine Reihe, etwa 8.3, auswählen; der Hoster liefert deren neueste Korrektur.

Bei eigenem Server oder VPS ist Ihr Entwickler oder Administrator zuständig. Verlangen Sie die genaue Versionsbestätigung.

Bei PHP 7.4 oder 8.0 ist der Sprung größer. Ältere Plugins und Themes funktionieren manchmal nicht unter 8.2 oder höher. Sicheres Vorgehen:

1. vollständige Sicherung von Dateien und Datenbank;
2. zuerst WordPress, Theme und Plugins aktualisieren;
3. möglichst auf einer Kopie in einer Staging-Umgebung testen, die viele Hoster anbieten;
4. PHP umstellen und Startseite, Kontaktformular, Warenkorb und Zahlung testen.

Lange nicht gepflegte Plugins sind das größte Risiko. Ersetzen Sie sie lieber jetzt.

Shops speichern Kundendaten und Bestellungen. Eindringlinge können sie auslesen oder Zahlungen manipulieren. Prüfen Sie nach dem Update:

• normale Bestell- und Zahlungsabläufe;
• keine unbekannten Administratoren unter Benutzer;
• keine Auffälligkeiten beim Zahlungsanbieter Mollie, Stripe oder Payconiq.

Personenbezogene Datenlecks müssen innerhalb 72 Stunden der belgischen Datenschutzbehörde gemeldet werden.

Es läuft selbst in PHP nach dem Ausnutzungszeitpunkt und kann PHP nicht korrigieren. Vorgeschaltete Firewalls wie Cloudflare oder die Ihres Hosters bremsen Angriffe vorübergehend. Laut Patchstack löst nur Aktualisieren das Problem vollständig.

So große PHP-Lücken sind selten, Plugin-Lücken nicht. Hilfreiche Gewohnheiten:

• Aktiv unterstützte PHP-Reihe wählen, damit neue Lücken sofort korrigiert werden.
• Automatische Updates aktivieren für kleine WordPress-Versionen und vertrauenswürdige Plugins.
• Aufräumen. Deaktivierte oder vergessene Plugins sind offene Türen.
• Wöchentlich prüfen lassen. Ein kostenloses Marketing-Scan-Konto prüft auch sichtbare Softwareversionen und meldet Änderungen.

Zwischen notwendigem Offlinegehen und Aktualisierung am selben Tag liegt selten Technik. Entscheidend sind Zuständigkeit und schnelle Information.