Veraltete PHP-Versionen: Das unterschätzte Sicherheitsrisiko für WordPress-Websites

Kurzfassung: Veraltete und ungepatchte PHP-Versionen gehören zu den größten Sicherheitsrisiken bei WordPress-Websites. Aktuell warnt das BSI vor kritischen PHP-Schwachstellen (CVSS 9.2), die Remote Code Execution ermöglichen können. Wer PHP unverzüglich patcht – Templates absichert – oder bewusst auf Alternativen wie Headless CMS, Astro bzw. createFLOW setzt, schützt Daten, Ranking und Geschäft.

Aktuell: BSI warnt vor kritischen PHP-Schwachstellen

Am 21. Oktober 2026 hat das Bundesamt für Sicherheit in der Informationstechnik (BSI) einen IT-Sicherheitshinweis zu kritischen Schwachstellen in PHP veröffentlicht (BITS-H Nr. 2026-297981-1132, Kritikalität 3 / Orange). Die Lücken werden in der Fachwelt auch als „PHP2Shell“ bezeichnet – in Anlehnung an Log4Shell.

Laut BSI betreffen die Schwachstellen CVE-2026-109618 und CVE-2026-109619 mit jeweils einem CVSS-Score von 9.2 von 10. Daraus ergibt sich unter anderem:

• Angreifer können potenziell aus der Ferne schadhaften Code auf PHP-Webservern ausführen (Remote Code Execution).
• Für eine Ausnutzung sind weder Authentifizierung noch Nutzerinteraktion erforderlich.
• Betroffen sind laut aktuellen Angaben alle bekannten PHP-Versionen – zurückgehend bis mindestens PHP 5.
• Gefährdet sind Installationen, die Webanfragen verarbeiten – darunter PHP-FPM, Apache mit mod_php, php-cgi, FrankenPHP und LiteSpeed. Das höchste Risiko sieht das PHP Security Team bei mod_php.
• Auch weit verbreitete Systeme wie WordPress, Drupal, TYPO3 oder Joomla sind betroffen – weil sie auf PHP basieren.

Das BSI hält eine kurzfristige, breite Ausnutzung für wahrscheinlich. Vollständigen Schutz bieten nach aktuellen Erkenntnissen nur das Einspielen der Patches oder eine vorübergehende Trennung vom Internet. Ein Update der Anwendungen allein reicht nicht: Die PHP-Laufzeitumgebung selbst muss gepatcht werden.

Praxis-Check (Stand 21:00 Uhr): Bei diversen Shared-Hosting-Anbietern war bis zu diesem Zeitpunkt noch kein PHP-Update sichtbar. Auf selbst gehostetem Plesk war das Update bereits verfügbar – es kam jedoch nicht automatisch: Ein manuelles Update war notwendig.

Update: All-Inkl und IONOS haben das PHP-Patch inzwischen ebenfalls ausgerollt.

Warum die PHP-Version ein riesiger Sicherheitsfaktor ist

WordPress läuft auf PHP. Jede Anfrage an Ihre Website – Formulare, Login, Plugins, Themes – wird über diese Sprache verarbeitet. Sobald der Host eine abgekündigte oder ungepatchte PHP-Version nutzt, fehlen wichtige Sicherheitspatches.

Der aktuelle BSI-Hinweis macht das besonders deutlich: Alle PHP-Versionen vor 8.2 haben bereits ihr End-of-Life erreicht; auch PHP 8.2 wird nur noch bis Jahresende mit Sicherheitsupdates unterstützt. Wer dauerhaft auf alten Versionssträngen bleibt, bleibt angreifbar – auch unabhängig von einzelnen CVEs.

Angreifer kennen genau diese Schwachstellen. Veraltetes oder ungepatchtes PHP bedeutet oft:

• bekannte Sicherheitslücken ohne oder mit verspäteten Fixes
• höheres Risiko für Malware, Spam und Datenlecks
• Probleme mit aktuellen Plugins und Themes
• schlechtere Performance und unnötige Ladezeiten
• im Worst Case: gehackte Website, Blacklist bei Google, Vertrauensverlust bei Kunden

Viele Unternehmen merken das erst, wenn es zu spät ist – wenn die Seite „plötzlich langsam“ ist, Formulare nicht mehr funktionieren oder der Hoster nach einem Zwangs-Update alles lahmlegt.

Die Lösung: unverzüglich patchen – und sauber absichern

Laut BSI müssen Maßnahmen bei Kritikalität Orange unverzüglich ergriffen werden. Für die aktuellen PHP-Lücken gilt konkret:

1. PHP-Patches sofort einspielen – bereitgestellte Versionen laut BSI unter anderem: PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35. Für EoL-Versionen 7.4, 8.0 und 8.1 gibt es Backport-Patches; langfristig sollte aber auf eine unterstützte Version migriert werden.
2. Patchstatus prüfen – z. B. mit php -v und Abgleich mit dem Advisory Ihres Hostings bzw. Ihrer Linux-Distribution.
3. WordPress-Core, Themes und Plugins aktualisieren – zusätzlich zur PHP-Laufzeit, nicht als Ersatz dafür.
4. Themes und Custom-Code prüfen – veraltete Funktionen, Deprecations und Inkompatibilitäten beheben.
5. Staging nutzen – wo möglich testen, aber bei kritischen Lücken zählt Geschwindigkeit: Patch vor Perfektion.
6. Monitoring und Backups – damit Auffälligkeiten erkannt und ein Rollback möglich bleiben.

Wichtig für Betreiber: Verlassen Sie sich nicht darauf, dass Shared Hosting oder Plesk das Update von allein ausrollen. Stand 21:00 Uhr war bei mehreren Shared-Hostern noch nichts sichtbar; unter Plesk musste das Update manuell angestoßen werden. All-Inkl und IONOS haben das Patch inzwischen ausgerollt – bei anderen Anbietern den Status im Kundenbereich bzw. per php -v prüfen.

Workarounds und WAFs können Angriffe erschweren, ersetzen laut BSI aber keinen vollständigen Schutz. Genau deshalb helfe ich: Ich passe WordPress-Templates, Child Themes und individuellen Code so an, dass Ihre Website für neue und gepatchte PHP-Versionen gerüstet ist – ohne dass Design oder Funktionen verloren gehen.

WordPress-Templates für moderne PHP-Versionen fit machen

Nicht jedes Theme oder jede Agentur-Vorlage ist von Haus aus zukunftssicher. Gerade ältere Templates, Page-Builder-Setups oder individuell geschriebener PHP-Code müssen oft nachgezogen werden.

Dazu gehören unter anderem:

• Anpassung veralteter PHP-Funktionen und Syntax
• Kompatibilitätschecks für Plugins und Builder (z. B. Bricks, Oxygen)
• Aufräumen von Custom-Code, Snippets und Functions.php
• Absicherung von Formularen, Uploads und Login-Bereichen
• Performance-Feinschliff nach dem Upgrade

Ergebnis: Ihre bestehende WordPress-Website bleibt nutzbar – aber auf einem deutlich sichereren und zukunftsfähigeren Fundament.

Alternativen: Astro, createFLOW und Headless CMS

Manchmal ist das beste Sicherheits-Upgrade kein PHP-Patch – sondern ein Architekturwechsel. Wenn eine Website vor allem Inhalte ausliefert und wenig serverseitige Logik braucht, sind moderne Alternativen oft robuster und schneller – und weniger abhängig von kritischen PHP-Laufzeitlücken. Besonders interessant: Headless-CMS-Systeme.

Was Headless CMS bedeutet

Bei einem Headless CMS werden Inhalte im Backend gepflegt, die Auslieferung an Besucher erfolgt aber getrennt – oft als statisches HTML, über ein Frontend-Framework oder eine API. Die Angriffsfläche auf dem öffentlichen Webserver sinkt deutlich, weil nicht mehr jede Seitenansicht dynamisch über PHP laufen muss.

Astro + Headless CMS

Astro ist ein modernes Framework für inhaltsstarke Websites. Es liefert standardmäßig vorgerendertes, schlankes HTML aus – mit sehr wenig JavaScript. Als Frontend lässt sich Astro mit diversen Headless-CMS-Systemen koppeln (z. B. Storyblok, Sanity, Contentful, Strapi oder ein headless betriebenes WordPress). Vorteile:

• extrem gute Performance und Core Web Vitals
• weniger Angriffsfläche, weil weniger dynamische Server-Logik nötig ist
• ideal für Unternehmensseiten, Landingpages und Content-Sites
• klare Trennung von Design, Content und Build-Prozess

createFLOW – Headless-Ansatz mit CMS und statischem HTML

Mit createFLOW gehe ich diesen Weg bewusst: Das System wird ein eigenes CMS bekommen und kann Inhalte als statisches HTML ausgeben – im Sinne eines Headless- bzw. Decoupled-Ansatzes. Mehr zur Plattform finden Sie auf der createFLOW-Seite. Das bedeutet:

• Inhalte bleiben komfortabel pflegbar
• die Auslieferung ist schnell, schlank und schwerer angreifbar
• weniger Abhängigkeit von PHP-Laufzeiten auf dem öffentlichen Webserver
• moderne Workflows für Unternehmen, die langfristig skalieren wollen

WordPress headless – und statisch ausliefern

Auch WordPress selbst lässt sich als Headless CMS nutzen: Redaktion und Plugins bleiben im Backend, das Frontend kommt über API und modernes Rendering. Zwei praxisnahe Wege:

• Builderius – ein neuer Page Builder mit starkem Fokus auf moderne, entwicklernahe Workflows; geeignet, wenn WordPress eher als Content-/Design-System dient und die Auslieferung zukunftssicherer aufgebaut werden soll.
• Simply Static – erzeugt aus einer WordPress-Website statische HTML-Dateien. Das öffentliche Frontend läuft dann ohne laufende PHP-Ausführung – ein klarer Sicherheitsgewinn gegenüber klassischem Shared Hosting mit dynamischem PHP.

Kurz gesagt: WordPress bleibt für viele Projekte stark – aber wer maximale Sicherheit, Speed und Unabhängigkeit will, sollte Headless-Ansätze, Astro, createFLOW sowie Tools wie Builderius und Simply Static ernsthaft prüfen.

Was ist der richtige Weg für Ihr Projekt?

Es gibt keine Einheitslösung – aber eine klare Entscheidungshilfe:

• Bestehende WordPress-Website mit vielen Plugins und Redaktion: PHP sofort patchen bzw. upgraden, Templates härten, Wartung professionalisieren.
• Marketing- oder Unternehmensseite mit Fokus auf Speed und Sicherheit: Astro, createFLOW oder ein anderes Headless CMS evaluieren.
• WordPress behalten, aber absichern: headless betreiben, mit Builderius modernisieren oder mit Simply Static als statische Website ausliefern.
• Hybrid: WordPress dort behalten, wo es Sinn macht – und neue Bereiche modern und statisch ausliefern.

Ich unterstütze Sie bei allen drei Wegen: vom PHP- und Template-Upgrade bis zum Umstieg auf moderne, zukunftssichere Systeme.

Fazit

Die PHP-Version ist kein technisches Detail für Nerds – sie ist ein zentraler Sicherheitsfaktor für Ihre gesamte Online-Präsenz. Der aktuelle BSI-Hinweis zu PHP2Shell zeigt, wie schnell aus einer Laufzeitumgebung ein flächendeckendes Risiko werden kann. Wer ungepatcht bleibt, riskiert Angriffe, Ausfälle und unnötige Kosten. Wer patcht und upgradet – oder bewusst auf Astro bzw. createFLOW setzt – baut auf Stabilität, Performance und Vertrauen.

Wenn Sie unsicher sind, welche PHP-Version Ihre Website aktuell nutzt oder ob Ihre Templates bereit für den nächsten Schritt sind: Melden Sie sich. Ich prüfe den Stand und setze die passende Lösung um.

Michael Blechinger, M-CREATE.AT

Glossar

Kurze Erklärungen zu den Fachbegriffen in diesem Beitrag:

• Advisory – Offizielle Sicherheitsmitteilung eines Herstellers oder einer Behörde zu einer Schwachstelle und empfohlenen Maßnahmen.
• API – Programmierschnittstelle, über die Systeme Daten austauschen (z. B. WordPress liefert Inhalte an ein separates Frontend).
• Astro – Modernes Web-Framework, das Websites vor allem als schlankes, vorgerendertes HTML ausliefert.
• Authentifizierung – Nachweis der Identität (z. B. Login). Fehlt sie bei einer Schwachstelle, kann ein Angriff oft ohne Anmeldung starten.
• Backport-Patch – Sicherheitsfix, der auf ältere bzw. EoL-Versionen zurückportiert wird, obwohl diese offiziell nicht mehr weiterentwickelt werden.
• BITS-H – Bezeichnung für BSI-IT-Sicherheitshinweise (hier: BITS-H Nr. 2026-297981-1132).
• Bricks / Oxygen / Builderius – Page Builder für WordPress: visuelle Werkzeuge zum Erstellen von Layouts und Templates.
• BSI – Bundesamt für Sicherheit in der Informationstechnik; zuständige deutsche Behörde für Cybersicherheit.
• Child Theme – Abgeleitete Theme-Variante, in der Anpassungen liegen, ohne das Parent-Theme direkt zu überschreiben.
• CMS – Content-Management-System; Software zur Pflege von Website-Inhalten (z. B. WordPress, createFLOW).
• Core Web Vitals – Google-Kennzahlen zur Nutzererfahrung einer Website (Ladezeit, Interaktivität, visuelle Stabilität).
• createFLOW – Plattform von M-CREATE für CRM, Dashboards und Abläufe; künftig mit CMS und Ausgabe als statisches HTML.
• CVE – Common Vulnerabilities and Exposures; eindeutige ID für öffentlich dokumentierte Sicherheitslücken (z. B. CVE-2026-109618).
• CVSS – Common Vulnerability Scoring System; Skala (0–10) zur Bewertung, wie kritisch eine Schwachstelle ist.
• Decoupled / Headless – Backend (Inhalte) und Frontend (Darstellung) sind getrennt; oft Auslieferung über API oder als statisches HTML.
• Deprecation – Veraltete Funktion oder Syntax, die noch funktioniert, aber künftig entfernt oder ersetzt wird.
• EoL (End-of-Life) – Ende der offiziellen Unterstützung: keine (oder nur noch eingeschränkte) Sicherheitsupdates mehr.
• Framework – Technische Grundlage bzw. Baukasten für die Entwicklung von Websites oder Anwendungen.
• FrankenPHP / LiteSpeed / php-cgi / PHP-FPM / mod_php – Verschiedene Arten, PHP auf einem Webserver auszuführen. mod_php läuft direkt in Apache und gilt im aktuellen Fall als besonders riskant.
• Frontend / Backend – Frontend: das, was Besucher sehen. Backend: Verwaltungsbereich für Inhalte und Einstellungen.
• Headless CMS – CMS, das Inhalte bereitstellt, die Darstellung aber einem separaten System überlässt (z. B. Astro, statisches HTML).
• HTML (statisch) – Fertige Webseiten-Dateien ohne laufende Server-Sprache bei jedem Aufruf; schnell und schwerer angreifbar.
• Kritikalität (BSI) – Bewertung der Dringlichkeit (u. a. Orange = Maßnahmen unverzüglich).
• Laufzeitumgebung (PHP Runtime) – Die PHP-Software auf dem Server selbst – nicht nur WordPress oder Plugins. Genau sie muss bei PHP2Shell gepatcht werden.
• Log4Shell / PHP2Shell – Log4Shell: berühmte kritische Lücke in Java. PHP2Shell: Bezeichnung der aktuellen kritischen PHP-Lücken in Anlehnung daran.
• Malware – Schadsoftware (z. B. Viren, Backdoors, Spam-Skripte auf gehackten Websites).
• Monitoring – Laufende Überwachung von Systemen auf Ausfälle, Angriffe oder Auffälligkeiten.
• Page Builder – Visueller Website-Baukasten innerhalb von WordPress (z. B. Bricks, Oxygen, Builderius).
• Patch / Update – Korrektur bzw. Aktualisierung, die Sicherheitslücken schließt oder Fehler behebt.
• PHP – Programmiersprache, auf der WordPress und viele andere Websysteme laufen.
• Plesk – Server-Verwaltungssoftware für selbst gehostete Webserver (Domains, PHP-Versionen, Updates usw.).
• Plugin / Theme / Template – Plugin: Erweiterung. Theme/Template: Design- und Layout-Vorlage einer Website.
• Remote Code Execution (RCE) – Angreifer können aus der Ferne eigenen Code auf dem Server ausführen – eine der schwerwiegendsten Schwachstellenarten.
• Rollback – Zurücksetzen auf einen früheren, funktionierenden Stand (z. B. nach einem fehlgeschlagenen Update).
• Shared Hosting – Günstiges Hosting, bei dem viele Websites denselben Server teilen; Updates oft vom Anbieter gesteuert.
• Simply Static – WordPress-Plugin/Tool, das eine Website als statische HTML-Dateien exportiert.
• Snippet – Kurzes Code-Stück (oft in Plugins oder „Code Snippets“), das Funktionen ergänzt.
• Staging – Testumgebung einer Website, bevor Änderungen live gehen.
• TLP:CLEAR – Traffic Light Protocol: Einstufung „frei weitergebbar“ (ohne besondere Vertraulichkeitseinschränkung).
• WAF (Web Application Firewall) – Schutzfilter vor dem Webserver, der verdächtige Anfragen blockieren kann – ersetzt aber keinen Patch.
• WordPress-Core – Die eigentliche WordPress-Software ohne Themes und Plugins.
• Workaround – Vorübergehende Gegenmaßnahme, wenn ein vollständiger Patch (noch) nicht möglich ist; oft kein 100-%-Schutz.

Quelle

Bundesamt für Sicherheit in der Informationstechnik (BSI): PHP: Kritische Schwachstellen bedrohen Webanwendungen weltweit, BITS-H Nr. 2026-297981-1132, Version 1.1 vom 21.10.2026 (TLP:CLEAR). Abrufbar unter: https://www.bsi.bund.de/SharedDocs/Cybersicherheitswarnungen/DE/2026/2026-297981-1032.pdf