PHP-Sicherheitslücke: Version prüfen, PHP-Update, Notdienst
Was über die Sicherheit von PHP bekannt ist, mit Quellen und Datum: wie Sie die PHP-Version Ihrer Website prüfen, welche Versionen noch Sicherheitsupdates bekommen und was Coday anbietet, vom PHP-Update über die Wartung bis zum Notdienst.
Kurz gesagt: Die PHP-Lücken vom Oktober 2026 stecken in PHP selbst, nicht in WordPress: Ein Update von WordPress, Plugins oder Theme schließt sie nicht. Fragen Sie zuerst Ihren Hoster, ob PHP auf Ihrem Paket aktualisiert ist, und prüfen Sie die PHP-Version Ihrer Website. Bekommt Ihr PHP-Zweig keine Sicherheitsupdates mehr oder bald keine mehr, steht ein Update an. Coday übernimmt das PHP-Update zum Festpreis nach einem kostenlosen Check, die laufende Wartung, den Notdienst und auf Wunsch einen Neuaufbau ohne PHP.
Notdienst: rund um die Uhr erreichbar, auch nachts und am Wochenende
Ich arbeite allein. Nehme ich nicht ab, schreiben Sie mir über das Notfall-Formular auf codayweb.de die Adresse Ihrer Website und was passiert ist; ich melde mich, sobald ich die Nachricht sehe. Eine feste Antwortzeit verspreche ich nicht.
Am 21. Oktober 2026 hat das PHP-Projekt Notfall-Updates für zwei kritische Sicherheitslücken veröffentlicht, die als „PHP2Shell“ bekannt wurden. Über sie können Angreifer ohne Anmeldung Code auf einem Webserver ausführen. [3][4][5]
Das PHP-Projekt bewertet beide Lücken mit 9,2 von 10 Punkten (CVSS 4.0). [6][1][2]
Die Lücken stecken in PHP selbst, nicht in WordPress, in Plugins oder im Theme. Ein Update der Anwendung reicht laut BSI deshalb nicht; die PHP-Version auf dem Server muss aktualisiert werden. [7][8][4]
Behoben sind die Lücken in PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35 sowie in Paketen, in die eine Linux-Distribution oder ein Anbieter mit Langzeit-Support die Korrekturen eingespielt hat. PHP 8.1 und älter bekommen vom PHP-Projekt keine offiziellen Updates mehr; für 7.4, 8.0 und 8.1 hat das Sicherheitsteam nur Korrekturen im Quellcode bereitgestellt, keine neuen Versionen. [3]
PHP 8.2 bekommt vom PHP-Projekt Sicherheitsupdates nur bis einschließlich 31. Dezember 2026. [9]
Laut BSI sind alle bekannten PHP-Versionen bis mindestens PHP 5 betroffen. [10][11]
Das BSI stuft die Kritikalität mit „3 / Orange“ ein: Maßnahmen müssen unverzüglich ergriffen werden. [7]
Sicherheitsfirmen haben Angriffsversuche beobachtet. Erfolgreiche Angriffe in der Breite waren dem BSI am 22. Oktober 2026 nicht bekannt. [4][5][10]
Am 21. Oktober 2026 war laut BSI die Erreichbarkeit verschiedener Webseiten in Deutschland eingeschränkt, weil einige Betreiber ihre Server vorsorglich vom Internet getrennt hatten. Auch in Hessen gingen Webseiten von Behörden vorsorglich offline. [7][12]
Nachtrag vom : Am 23. Oktober 2026 hat das PHP-Projekt einen weiteren Hinweis zur Einstellung für den Upload-Fortschritt veröffentlicht. Es hält den betroffenen Aufbau für unwahrscheinlich und empfiehlt bis zum nächsten regulären Update die Einstellung session.upload_progress.enabled=0. Die vollständige Sicherheitsmeldung dazu (CVE-2026-115560) hat das PHP-Projekt für das nächste reguläre Release angekündigt. [13]
Prüfen
PHP-Version prüfen: vier Schritte
Die ersten Schritte kosten nichts und funktionieren, ob Sie je mit Coday sprechen oder nicht.
01
Zuerst den Hoster fragen
Fragen Sie zuerst Ihren Hoster, ob PHP auf Ihrem Paket aktualisiert ist. Bei Shared Hosting spielt in der Regel er das Update ein; IONOS, STRATO, Hetzner und netcup haben gemeldet, dass ihre Webhosting-Pakete gegen diese Lücken abgesichert sind (Stand 22.10.2026). Auf einem eigenen Server, etwa einem VPS oder Root-Server, spielen Sie oder Ihr Administrator das Update ein. [14][15][16][17]
02
Die PHP-Version herausfinden
In WordPress zeigt der Website-Zustand unter Werkzeuge die PHP-Version an, beim Hoster das Kundenmenü bei den Einstellungen Ihres Pakets. Der kostenlose Sofort-Check zeigt, ob Ihre Startseite die Version öffentlich nennt; viele Seiten nennen keine.
Die Tabelle unten zeigt je PHP-Zweig, bis wann das PHP-Projekt Sicherheitsupdates liefert und welche Version die oben genannten Lücken behebt. Bekommt Ihr Zweig keine Sicherheitsupdates mehr, steht ein Wechsel auf eine neuere Version an.
04
Ein PHP-Update einplanen, nicht nur ein WordPress-Update
Ein WordPress-Update schließt diese Lücken nicht; sie stecken in PHP selbst. Hat Ihr Hoster PHP noch nicht aktualisiert oder bekommt Ihr Zweig keine Updates mehr, braucht die Seite ein PHP-Update: vorher eine Sicherung, dann ein Test, ob Theme und Plugins mit der neuen Version laufen. [10][8][4]
Versionen
Welche PHP-Versionen noch Sicherheitsupdates bekommen
Die Tabelle zeigt je PHP-Zweig, etwa PHP 8.2 mit allen Versionen 8.2.x, bis wann das PHP-Projekt Sicherheitsupdates liefert, nach den Angaben auf php.net. [18][19]
PHP-Zweig
Sicherheitsupdates bis einschließlich
Mindestens diese Version
Status am 23.10.2026
PHP 8.5
Sicherheitsupdates bis einschließlich
Mindestens diese VersionPHP 8.5.12
Status am 23.10.2026bekommt Sicherheitsupdates
PHP 8.4
Sicherheitsupdates bis einschließlich
Mindestens diese VersionPHP 8.4.27
Status am 23.10.2026bekommt Sicherheitsupdates
PHP 8.3
Sicherheitsupdates bis einschließlich
Mindestens diese VersionPHP 8.3.36
Status am 23.10.2026bekommt Sicherheitsupdates
PHP 8.2
Sicherheitsupdates bis einschließlich
Mindestens diese VersionPHP 8.2.35
Status am 23.10.2026Sicherheitsupdates nur bis 31.12.2026
PHP 8.1
Sicherheitsupdates bis einschließlich
Mindestens diese Versionkeine neue Version des PHP-Projekts
Status am 23.10.2026keine Sicherheitsupdates mehr
PHP 8.0
Sicherheitsupdates bis einschließlich
Mindestens diese Versionkeine neue Version des PHP-Projekts
Status am 23.10.2026keine Sicherheitsupdates mehr
PHP 7.4
Sicherheitsupdates bis einschließlich
Mindestens diese Versionkeine neue Version des PHP-Projekts
„Mindestens diese Version“ ist die niedrigste Version des Zweigs, die die Lücken mit den oben genannten Kennungen behebt. Was für einen Nachtrag gilt, steht im Nachtrag selbst.
Behoben sind die Lücken auch in Paketen, in die eine Linux-Distribution oder ein Anbieter mit Langzeit-Support die Korrekturen eingespielt hat, und manche Hoster spielen Korrekturen ein, ohne die Nummer zu ändern. Ob Ihr Paket dazugehört, kann nur Ihr Hoster sagen. [3]
Was das Supportende von PHP 8.2 für WordPress-Seiten bedeutet und was Hoster danach verlangen, steht im Ratgeber.
PHP-Update, Wartung und Notdienst
Was Coday anbietet
Coday ist ein Ein-Personen-Betrieb aus Wetzlar. Ich bringe bestehende WordPress- und PHP-Seiten auf eine unterstützte PHP-Version, halte sie in der Wartung aktuell, helfe im Notdienst und baue auf Wunsch neu, ohne PHP.
PHP-Update zum Festpreis
Ich prüfe, welche PHP-Version Ihre Seite nutzt und ob Theme und Plugins eine neuere vertragen, stimme das Update mit Ihrem Hoster ab und teste es vorher auf einer Kopie der Seite. Festpreis und Starttermin nenne ich nach dem Check, bevor ich anfange.
Preis auf Anfrage
Das Angebot richtet sich an Betriebe, Vereine und Selbstständige.
Notdienst: rund um die Uhr erreichbar, auch nachts und am Wochenende
Ich arbeite allein. Nehme ich nicht ab, schreiben Sie mir über das Notfall-Formular auf codayweb.de die Adresse Ihrer Website und was passiert ist; ich melde mich, sobald ich die Nachricht sehe. Eine feste Antwortzeit verspreche ich nicht.
Ist Ihre Website ausgefallen, nach einem Update kaputt oder gehackt, helfe ich im Notdienst, vom Sichern des befallenen Stands bis zum Zurückspielen eines sauberen Backups.
Dazu gehört:
eine Kopie des befallenen Stands sichern, bevor ich etwas ändere
die Website hinter eine Wartungsseite nehmen
Zugänge sichern und Passwörter ändern lassen
Schadcode entfernen
das PHP-Update einspielen oder beim Hoster umstellen
ein sauberes Backup zurückspielen
mit Ihrem Hoster sprechen
Ich arbeite nur mit Ihrem Auftrag und mit Zugängen, die Sie mir geben. Den Einstieg suche ich, soweit Protokolle und Dateien ihn zeigen; gerichtsfeste Forensik übernimmt ein Fachdienstleister. Zur Meldepflicht berät Sie eine Anwältin, ein Anwalt oder Ihr Datenschutzbeauftragter.
Was der Einsatz kostet, sage ich Ihnen, bevor ich anfange.
Preis auf Anfrage
Das Angebot richtet sich an Betriebe, Vereine und Selbstständige.
Updates von WordPress, Plugins und Theme, die PHP-Version beim Hoster auf unterstütztem Stand, eine Sicherung vor jedem Update und eine Überwachung der Erreichbarkeit. Auch für Seiten, die eine andere Agentur gebaut hat; Ihr Hosting bleibt bei Ihrem Hoster.
Monatspreis nach kostenlosem Check, Preis auf Anfrage
Das Angebot richtet sich an Betriebe, Vereine und Selbstständige.
Eine Seite ohne PHP-Code, die bei einem Anbieter ohne PHP liegt, führt den Code dieser Lücken nicht aus. Alte PHP-Installationen im selben Paket entferne ich beim Umzug. Das macht eine Website nicht unangreifbar, denn das tut nichts: Auch Next.js braucht Updates: Am 3. Dezember 2025 hat das React-Team eine kritische Lücke in React Server Components veröffentlicht (CVE-2025-55182), die auch Next.js betraf. [20]
Gebaut wird die neue Seite mit Next.js oder mit schlichtem HTML, CSS und JavaScript ohne Framework.
Preis auf Anfrage: Der Festpreis steht im Angebot, bevor die Arbeit beginnt.
Das Angebot richtet sich an Betriebe, Vereine und Selbstständige.
Schreiben Sie mir die Adresse Ihrer Website und was passiert ist, per Telefon, WhatsApp oder über das Formular.
Notdienst: rund um die Uhr erreichbar, auch nachts und am Wochenende
Ich arbeite allein. Nehme ich nicht ab, schreiben Sie mir über das Notfall-Formular auf codayweb.de die Adresse Ihrer Website und was passiert ist; ich melde mich, sobald ich die Nachricht sehe. Eine feste Antwortzeit verspreche ich nicht.
Name, Telefon oder E-Mail und im Feld Nachricht die Adresse Ihrer Website und was passiert ist. Das Angebot richtet sich an Betriebe, Vereine und Selbstständige.
Häufige Fragen zur PHP-Sicherheit
Reicht es, WordPress und die Plugins zu aktualisieren?
Nein, nicht bei Lücken in PHP selbst. Die Lücken, für die das PHP-Projekt am 21. Oktober 2026 Notfall-Updates veröffentlicht hat, stecken in PHP, nicht in WordPress, in Plugins oder im Theme. Laut BSI reicht ein Update der Anwendung deshalb nicht; die PHP-Version auf dem Server muss aktualisiert werden. Bei Shared Hosting übernimmt das in der Regel der Hoster.
Wie finde ich heraus, welche PHP-Version meine Website nutzt?
In WordPress zeigt der Website-Zustand unter Werkzeuge die PHP-Version an, beim Hoster das Kundenmenü bei den Einstellungen Ihres Pakets. Der kostenlose Sofort-Check von Coday liest, ob Ihre Startseite die Version öffentlich nennt. Viele Seiten nennen keine, und eine sichtbare Nummer ist noch kein Befund: Manche Hoster spielen Korrekturen ein, ohne die Nummer zu ändern.
Was passiert mit PHP 8.2 nach dem 31. Dezember 2026?
Das PHP-Projekt liefert für PHP 8.2 Sicherheitsupdates bis einschließlich 31. Dezember 2026, danach keine mehr. Manche Hoster bieten für ältere Versionen gegen Aufpreis einen verlängerten Support an, andere stellen auf eine neuere Version um. Fragen Sie Ihren Hoster, was er für Ihr Paket vorsieht, und planen Sie das Update so, dass Theme und Plugins vorher auf einer Kopie getestet sind.
Was kostet ein PHP-Update bei Coday?
Das hängt davon ab, wie viele Plugins und Anpassungen die Seite hat und ob Theme und Plugins die neue PHP-Version vertragen. Deshalb prüfe ich die Seite zuerst kostenlos. Festpreis und Starttermin nenne ich nach dem Check, bevor ich anfange.
Ist der Notdienst auch nachts und am Wochenende erreichbar?
Ja, Telefon und WhatsApp sind auch nachts und am Wochenende eingeschaltet. Ich arbeite allein. Nehme ich nicht ab, schreiben Sie mir über das Notfall-Formular auf codayweb.de die Adresse Ihrer Website und was passiert ist; ich melde mich, sobald ich die Nachricht sehe. Eine feste Antwortzeit verspreche ich nicht. Was der Einsatz kostet, sage ich Ihnen, bevor ich anfange.
Hilft der Notdienst auch, wenn meine Website schon gehackt wurde?
Ja. Dazu gehört: eine Kopie des befallenen Stands sichern, bevor ich etwas ändere; die Website hinter eine Wartungsseite nehmen; Zugänge sichern und Passwörter ändern lassen; Schadcode entfernen; das PHP-Update einspielen oder beim Hoster umstellen; ein sauberes Backup zurückspielen; mit Ihrem Hoster sprechen. Ich arbeite nur mit Ihrem Auftrag und mit Zugängen, die Sie mir geben. Den Einstieg suche ich, soweit Protokolle und Dateien ihn zeigen; gerichtsfeste Forensik übernimmt ein Fachdienstleister. Zur Meldepflicht berät Sie eine Anwältin, ein Anwalt oder Ihr Datenschutzbeauftragter.
Muss ich jetzt auf eine Website ohne PHP umsteigen?
Nein. Für die meisten Seiten ist das PHP-Update der richtige erste Schritt, und mit regelmäßiger Wartung bleibt eine WordPress-Seite auf aktuellem Stand. Ein Neuaufbau mit Next.js oder schlichtem HTML, CSS und JavaScript lohnt sich, wenn die Seite ohnehin erneuert werden soll oder Theme und Plugins keine aktuelle PHP-Version vertragen. Updates braucht auch eine Seite ohne PHP.
Quellen
Jede Quelle mit dem Tag, an dem sie abgerufen wurde.
PHP-Update anfragen: Festpreis nach kostenlosem Check
Nennen Sie mir die Adresse Ihrer Website. Ich prüfe kostenlos, welche PHP-Version sie nutzt und was ein Update braucht, und nenne Ihnen danach Festpreis und Starttermin, bevor ich anfange. Das Angebot richtet sich an Betriebe, Vereine und Selbstständige.
01
Kurz anfragen
Name, Telefon oder E-Mail und die Adresse Ihrer Website.
02
Kostenloser Check
Ich sehe mir PHP-Version, Theme und Plugins an und bespreche mit Ihnen den Weg.
03
Festpreis vor Beginn
Festpreis und Starttermin nenne ich nach dem Check, bevor ich anfange.
Preis auf Anfrage, Festpreis vor Beginn
Check kostenlos und unverbindlich
Persönlich vom Inhaber
Persönliche Antwort vom Inhaber
Kurz anfragen
Drei Felder genügen. Ich melde mich persönlich bei Ihnen.
Verpassen Sie keine neuen Beiträge zu Webentwicklung, SEO und Next.js: Fügen Sie Coday in der Google Suche als bevorzugte Quelle hinzu – so sehen Sie unsere Inhalte häufiger in den Top-Meldungen und KI-Übersichten.