PHP-Sicherheitsupdate behebt zwei kritische Schwachstellen
Das am 21. Oktober 2026 veröffentlichte PHP-Sicherheitsupdate behebt zwei kritische Schwachstellen in der Software, die jeder WordPress-Website zugrunde liegt. PHP ist die serverseitige Programmiersprache, mit der WordPress ausgeführt wird. Das PHP-Projekt veröffentlichte die Versionen 8.5.12, 8.4.27, 8.3.36 und 8.2.35, um beide Schwachstellen zu beheben, einen Tag nachdem sein Sicherheitsteam die Veröffentlichung vorab angekündigt hatte.
Jede Schwachstelle erhielt im Common Vulnerability Scoring System Version 4.0 (CVSS v4.0), einer Skala von 0 bis 10 zur Beschreibung des Schweregrads von Sicherheitslücken, eine Bewertung von 9,2. Ein Wert von 9,2 liegt im Bereich „Critical“. In der Vorankündigung war die Veröffentlichung für den 21. Oktober um 14:00 UTC beziehungsweise 10:00 Uhr Eastern Time vorgesehen. Sie könne jedoch früher erfolgen, falls Informationen über eine der Schwachstellen öffentlich würden oder das Team Hinweise auf eine aktive Ausnutzung feststelle. Die aktualisierte Mitteilung bestätigt, dass die Korrekturen verfügbar sind, nennt jedoch selbst keine CVE-Kennungen und erläutert nicht die technischen Bedingungen, die zum Auslösen der Schwachstellen erforderlich sind.
Das PHP-Sicherheitsupdate ist für WordPress-Nutzer unabhängig von den gewählten Plugins oder Themes relevant. PHP ist auf dem Webserver installiert und nicht Bestandteil von WordPress selbst, weshalb automatische WordPress-Updates diese Korrekturen nicht installieren können. Auch durch die Aktualisierung der WordPress-Core-Software, von Plugins oder Themes ändert sich die auf dem Server ausgeführte PHP-Version nicht. Da die technischen Einzelheiten in der aktualisierten Mitteilung nicht aufgeführt sind, lässt sich allein auf Grundlage dieser Mitteilung nicht feststellen, wie leicht eine der beiden Schwachstellen gegen eine WordPress-Website eingesetzt werden könnte.
Wer für das Update verantwortlich ist, hängt vom Hosting-Modell ab. Anbieter verwalten PHP in der Regel beim Shared Hosting und Managed Hosting. Bei einem virtual private server (VPS), also einer aus der Ferne gehosteten Serverumgebung, die einem Kunden zur Administration vorbehalten ist, sowie bei Dedicated Servern und anderen selbst verwalteten Systemen ist üblicherweise der Kunde oder dessen Entwickler verantwortlich. Website-Betreiber sollten prüfen, ob ihr Anbieter eine der korrigierten Versionen installiert hat, statt davon auszugehen, dass ein gewöhnliches WordPress-Update die Korrektur bereits abgedeckt hat.
WordPress-Administratoren können die installierte Version ermitteln, indem sie Werkzeuge öffnen, Website-Zustand auswählen, zum Tab Bericht wechseln und den Abschnitt Server aufklappen. Laut der Seite des PHP-Projekts zu den unterstützten Versionen befinden sich PHP 8.5 und 8.4 im aktiven Support. PHP 8.3 erhält nur noch bis zum 31. Dezember 2027 Sicherheitskorrekturen, PHP 8.2 bis zum 31. Dezember 2026. PHP 8.1 und ältere Versionen erhalten nicht länger direkt vom PHP-Projekt Sicherheitskorrekturen.
Für ältere Systeme gibt es begrenzte Ausnahmen. Das PHP-Projekt weist darauf hin, dass einige Linux-Distributionen und Anbieter mit Long-term support (LTS) backported fixes bereitstellen. Dabei passen sie eine neuere Korrektur so an, dass sie auf eine ältere Softwareversion angewendet werden kann. Das PHP-Sicherheitsteam hat außerdem minimale source backports für PHP 7.4, 8.0 und 8.1 für Administratoren veröffentlicht, die PHP aus dem Quellcode erstellen. Diese Vorkehrungen machen nicht jede alte Installation automatisch sicher. Betreiber von Websites mit PHP 8.1 oder älter sollten ihren Hosting-Anbieter nach einem Wechsel zu einem unterstützten Versionszweig fragen und diesen zunächst testen, da ältere WordPress-Plugins und Themes mit neueren PHP-Versionen unter Umständen nicht mehr funktionieren.
Administratoren, die ihre Systeme selbst verwalten, sollten das PHP-Sicherheitsupdate über denselben Bezugsweg beziehen, über den die Software installiert wurde. Betriebssystempakete, Hosting-Control-Panels und container images, also paketierte Softwareumgebungen zur einheitlichen Ausführung von Anwendungen, können ihre Updates nach einem anderen Zeitplan als php.net veröffentlichen. Prüfen Sie diesen Bezugsweg auf das korrigierte Paket und planen Sie ein Wartungsfenster ein. Erstellen Sie vor der Änderung eine aktuelle Kopie der Website-Dateien und der Datenbank, überprüfen Sie, ob das Backup wiederhergestellt werden kann, und testen Sie die aktualisierte PHP-Version auf einer staging site, einer privaten Kopie der Website, die zur Überprüfung dient, bevor Änderungen für Besucher sichtbar werden.
Das PHP-Projekt kündigt Veröffentlichungen über die Startseite von php.net an. Wordfence erklärte, sein Threat-Intelligence-Team beobachte die Veröffentlichung und werde untersuchen, wie sich die Schwachstellen auf WordPress auswirken könnten, einschließlich der Frage, ob ein Schutz durch eine firewall möglich sei. Das Unternehmen betonte außerdem, dass manche Schwachstellen in PHP selbst nur durch eine Aktualisierung von PHP behoben werden können. Damit bleibt das Server-Update die zentrale Maßnahme, selbst wenn später weitere Schutzmaßnahmen entwickelt werden. Wordfence hat Leser inzwischen auf eine separate Sicherheitsempfehlung zu den korrigierten Versionen und den weiteren Schritten verwiesen.
Für Website-Betreiber, die die Serverebene nicht selbst verwalten möchten, bietet AEU Hosting durchgängig abgesichertes Managed WordPress Hosting an. Unabhängig vom verwendeten Hosting-Modell besteht die unmittelbare Aufgabe darin, die installierte PHP-Version zu ermitteln, festzustellen, wer deren Updates verwaltet, die Installation einer korrigierten Version zu bestätigen und ein getestetes Backup aufzubewahren, falls die Änderung Kompatibilitätsprobleme verursacht.