Kritische PHP-Schwachstellen gefährden WordPress-Websites
Kritische PHP-Schwachstellen, die als CVE-2026-109618 und CVE-2026-109619 erfasst sind, können WordPress-Websites gefährden, selbst wenn WordPress Core, Plugins und Themes vollständig aktualisiert sind. Das PHP-Projekt, dessen Programmiersprache hauptsächlich für WordPress verwendet wird, veröffentlichte am 21. Oktober 2026 Notfallkorrekturen. Beide Schwachstellen haben im Common Vulnerability Scoring System (CVSS) v4.0 einen Schweregrad von 9,2 von 10 und können remote code execution ermöglichen. Das bedeutet, dass ein Angreifer den Server Befehle ausführen lassen kann, ohne sich zuvor anzumelden.
Es handelt sich um PHP-Schwachstellen auf Serverebene und nicht um Schwächen von WordPress selbst. Eine Aktualisierung von WordPress installiert daher nicht die erforderlichen Patches. Die ersten PHP-Versionen mit den Korrekturen sind 8.5.12, 8.4.27, 8.3.36 und 8.2.35. Linux-Distributionen und Long-Term-Support-Anbieter können dieselben Patches in Pakete übernehmen, die weiterhin ältere Hauptversionsnummern tragen. Administratoren müssen deshalb die vollständige Paketrevision mit dem Sicherheitshinweis des Anbieters abgleichen. Nach der Installation muss PHP neu gestartet werden, damit jeder aktive Prozess den korrigierten Code lädt. Aus einem aktualisierten Image sollten container neu erstellt und erneut bereitgestellt werden; ein container bündelt eine Anwendung mit ihrer runtime und ihren Abhängigkeiten.
Eine erfolgreiche Ausnutzung würde einem Angreifer dieselben Zugriffsrechte auf Dateien und Daten verschaffen, die auch der Website zur Verfügung stehen. Laut den Sicherheitshinweisen des PHP-Projekts könnte dies das Auslesen von Datenbankzugangsdaten, den Diebstahl von Website-Daten, Änderungen an Website-Dateien oder die Installation einer dauerhaften backdoor ermöglichen. Dabei handelt es sich um einen versteckten Zugang, der auch nach dem ursprünglichen Eindringen bestehen bleiben soll. PHP bestätigte remote code execution für beide Schwachstellen und bestätigte außerdem, dass ein Ausführungspfad von CVE-2026-109618 bereits ausgeführt wird, bevor WordPress zu laufen beginnt. Diese Unterscheidung ist wichtig, weil ein Sicherheitstool, das ausschließlich innerhalb von WordPress arbeitet, den frühesten Teil einer solchen Anfrage möglicherweise nie sieht.
Die beiden Schwachstellen führen auf unterschiedliche Weise zur Codeausführung. Bei CVE-2026-109618 kann PHP Daten fehlerhaft verarbeiten, wenn eine Anfrage den verfügbaren Arbeitsspeicher erschöpft. Die daraus entstehende memory corruption, bei der Daten im Arbeitsspeicher auf unsichere Weise verändert werden, kann einem nicht authentifizierten Angreifer die Ausführung von Code ermöglichen. Bei CVE-2026-109619 kann ein PHP-worker, also einer der Prozesse zur Bearbeitung von Website-Anfragen, weiterhin Informationen verwenden, die von einer bereits abgeschlossenen Anfrage zurückgeblieben sind. Eine spätere Anfrage, die demselben worker zugewiesen wird, kann diese veralteten Daten zur Ausführung von Code nutzen.
CrowdStrike berichtet, dass sein nicht öffentlicher Exploit für die Schwachstellen auf Intel/AMD- und Arm-Systemen zuverlässig funktionierte, auch gegen PHP-worker, die gerade erst neu gestartet worden waren. Wordfence erklärte, diesen unveröffentlichten Exploit nicht unabhängig getestet zu haben. Öffentliches Material zu proof of concept, also Demonstrationscode, mit dem gezeigt werden soll, ob eine Schwachstelle ausgelöst werden kann, ist bereits im Umlauf. Wordfence warnte jedoch, dass einige Beispiele und Kommentare unvollständig, irreführend oder falsch seien. Dass ein Exploit an einen bestimmten Server angepasst werden muss, bedeutet nicht, dass eine ungepatchte Installation sicher ist.
Das Wordfence Threat Intelligence Team untersuchte die PHP-Patches und begann innerhalb weniger Stunden nach ihrer Veröffentlichung mit Labortests. In einer speziell konfigurierten PHP-8.5.11-Umgebung mit Apache, einer Software zur Annahme und Auslieferung von Webanfragen, traf sein proof of concept für CVE-2026-109619 über HTTP ein und erstellte eine temporäre Textdatei. Damit wurde die Codeausführung in dieser Laborumgebung bestätigt. Derselbe Test brachte einen normalen optimierten build von PHP 8.5.11 zum Absturz, anstatt Code auszuführen, während das korrigierte PHP 8.5.12 stabil blieb.
Bei CVE-2026-109618 schlug das anfällige PHP 8.5.11 im Test fehl, während PHP 8.5.12 dieselbe Anfrage des proof of concept normal verarbeitete. In separaten Tests mit WordPress 7.1.3 und einem betroffenen Ubuntu-Paket von PHP 8.5.4 verursachten speziell konstruierte Anfragen in einigen Konfigurationen PHP-Ausfälle oder Neustarts. Wordfence konnte für diese CVE nicht unabhängig eine Codeausführung erreichen. Diese vorläufigen Ergebnisse zeigen, dass das Verhalten zwischen verschiedenen Server-builds und Konfigurationen variiert. Ein Absturz statt einer Codeausführung ist jedoch kein Beleg dafür, dass ein betroffener Server sicher ist.
PHP 8.1 und ältere Zweige erhalten vom PHP-Projekt keine neuen Versionen mehr. Ein Betriebssystem- oder Long-Term-Support-Anbieter kann die Patches weiterhin bereitstellen, doch Betreiber benötigen dafür eine ausdrückliche Bestätigung. Andernfalls sollte die Website auf einen unterstützten PHP-Zweig umgestellt werden. Website-Betreiber können die Version, die WordPress tatsächlich ausführt, unter Tools > Site Health > Info > Server einsehen. Das Ergebnis des Befehls `php -v` an einer Eingabeaufforderung reicht nicht aus, weil ein Server für Befehle eine andere PHP-Version verwenden kann als für Websites.
Kunden von Managed Hosting sollten nachfragen, ob der PHP-Dienst, der ihre Website ausführt, gegen beide CVEs gepatcht und anschließend neu gestartet wurde. Betreiber selbst verwalteter Systeme müssen PHP aktualisieren und Apache, PHP-FPM – einen Dienst zur Verwaltung von PHP-Prozessen – oder den jeweils aktiven PHP-Dienst neu starten. Agenturen und Hosting-Anbieter sollten jede produktive Website, jede staging site, also eine separate Testkopie, jede direkte Origin-Adresse und ältere container-Instanzen prüfen, anstatt nur die öffentliche Hauptdomain zu kontrollieren. Anschließend sollten sie sowohl die unter Site Health angezeigte Version als auch die vollständige Paketrevision über den Hoster, die Paketwerkzeuge des Betriebssystems oder den Anbieter des container-Images bestätigen.
Als Vorsichtsmaßnahme empfiehlt Wordfence, Backups aufzubewahren und Webserver-, PHP-, firewall- und Systemprotokolle mindestens für den Zeitraum von 48 Stunden vor der Veröffentlichung am 21. Oktober bis zum vollständigen Patchen und Neustarten von PHP zu sichern. Falls sich das Update verzögert hat, sollten Administratoren diese Aufzeichnungen auf für die Website ungewöhnliche Aktivitäten prüfen und verdächtige Vorgänge untersuchen. Unauffällig wirkende Protokolle können nicht beweisen, dass keine Ausnutzung stattgefunden hat. Die vorläufigen Empfehlungen von PHP können das Risiko bestimmter Angriffswege verringern, wenn ein sofortiges Patchen nicht möglich ist. Sie sind jedoch unvollständig, können normale Website-Funktionen beeinträchtigen und ersetzen das Update nicht.
Wordfence Firewall schützt mithilfe von Wordfence Threat Intelligence die WordPress application layer, also den Teil, der WordPress-spezifische Anfragen verarbeitet. Dieser Schutz ersetzt keine Updates und Sicherheitsmaßnahmen für PHP, den Webserver, das Betriebssystem und die network edge, also die äußeren Systeme, über die der Datenverkehr die Website erreicht. Kunden von Wordfence Care und Wordfence Response können sich bei Verdacht auf eine Kompromittierung an das Incident-Response-Team wenden. Laut Wordfence ist Response rund um die Uhr an 365 Tagen im Jahr verfügbar und bietet eine Reaktionszeit von einer Stunde.
Dieser Vorfall zeigt außerdem die Bedeutung verwalteter Dienste für Betreiber, die PHP nicht selbst administrieren: AEU Hosting bietet durchgängig abgesichertes Managed WordPress Hosting. Unabhängig vom Hosting-Modell besteht die wesentliche Reaktion darin, ein Paket zu installieren, das nachweislich beide Korrekturen enthält, PHP neu zu starten und den genauen Dienst sowie das konkrete Paket zu überprüfen, mit denen die Website ausgeliefert wird.