PHP security update soll zwei kritische Schwachstellen mit einem Wert von 9,2 beheben
Ein für Mittwoch, den 21. Oktober 2026, geplantes PHP security update wird zwei kritische Schwachstellen beheben, die jede WordPress-Website betreffen. Das PHP-Sicherheitsteam plant, das Release um 14:00 Uhr UTC beziehungsweise 10:00 Uhr US-Ostküstenzeit zu veröffentlichen. Jede Schwachstelle hat nach CVSS v4.0 einen Wert von 9,2. CVSS v4.0 ist das Common Vulnerability Scoring System, mit dem der Schweregrad von Sicherheitslücken auf einer Skala von 0 bis 10 bewertet wird.
PHP ist die Programmiersprache, mit der WordPress erstellt wird, und läuft als Software auf dem Server, der die Website hostet. Daher ist das bevorstehende Release für jeden Betreiber einer WordPress-Website relevant, unabhängig von den installierten Plugins oder Themes. Das PHP-Sicherheitsteam hat noch nicht offengelegt, welche PHP-Versionen anfällig sind, welche Releases die Korrekturen enthalten werden, wie die beiden Schwachstellen ausgelöst werden können oder welche CVE-Kennungen dazugehören. Eine CVE-Kennung ist eine standardisierte öffentliche Referenznummer, die einer dokumentierten Sicherheitsschwachstelle zugewiesen wird.
Das Team könnte das Update vor dem geplanten Zeitpunkt veröffentlichen, falls technische Details öffentlich werden oder Hinweise auf eine aktive Ausnutzung auftauchen. Derzeit gibt es für Website-Betreiber nichts zu installieren. Da technische Informationen fehlen, lässt sich noch nicht sagen, wie leicht eine der beiden Schwachstellen gegen eine WordPress-Website eingesetzt werden könnte. Betreiber können jetzt jedoch feststellen, wer PHP für ihre Website verwaltet, und sicherstellen, dass diese Person oder dieser Anbieter bereit ist zu handeln, sobald die korrigierten Versionen angekündigt werden.
Dieses Update wird nicht über WordPress selbst bereitgestellt. PHP ist Server-Software und keine in WordPress enthaltene Komponente. Daher ändert die Installation von Updates für WordPress core, Plugins oder Themes nicht die vom Server verwendete PHP-Version. Bei den meisten Shared- und Managed-Hosting-Angeboten verwaltet der Hostinganbieter PHP. Bei einem VPS, also einer vom Kunden verwalteten gemieteten Serverumgebung, einem dedizierten Server oder einem anderen selbst verwalteten System ist normalerweise der Betreiber oder Entwickler für die Installation des Updates verantwortlich.
Website-Betreiber können ihre aktuelle Version ermitteln, indem sie das WordPress-Dashboard öffnen und Werkzeuge, Website-Zustand, Informationen und anschließend Server auswählen. Die installierte PHP-Version wird in diesem Abschnitt angezeigt. Laut den Informationen des PHP-Projekts zu unterstützten Versionen befinden sich PHP 8.5 und PHP 8.4 im aktiven Support. PHP 8.3 erhält nur noch bis zum 31. Dezember 2027 Sicherheitskorrekturen, während PHP 8.2 nur noch bis zum 31. Dezember 2026 Sicherheitskorrekturen erhält.
PHP 8.1 und frühere Releases erhalten vom PHP-Projekt keine Sicherheitskorrekturen mehr. Das Sicherheitsteam hat nicht mitgeteilt, ob die neu bekannt gegebenen Schwachstellen diese älteren Branches betreffen. Für nicht mehr unterstützte Versionen sollte jedoch keine Korrektur erwartet werden. Betreiber von Websites, die PHP 8.1 oder eine frühere Version verwenden, sollten ihren Hostinganbieter nach einem Wechsel zu einem unterstützten Branch fragen. Diese Migration sollte zuerst getestet werden, da ältere WordPress-Plugins und Themes mit neueren PHP-Versionen möglicherweise nicht mehr richtig funktionieren.
Kunden eines Hostinganbieters sollten dessen Seite zum Servicestatus prüfen oder den Support kontaktieren, um zu erfragen, ob und wann der Anbieter das PHP security update einspielen wird. Viele Hostinganbieter aktualisieren PHP automatisch, doch Betreiber sollten dies bestätigen, anstatt davon auszugehen. Administratoren, die für ihre eigenen Server verantwortlich sind, sollten kurz nach 14:00 Uhr UTC am 21. Oktober ein Wartungsfenster einplanen und zugleich auf ein möglicherweise früheres Release achten.
Updates, die über die Softwarepakete eines Betriebssystems, ein Hosting-Control-Panel oder ein container image bezogen werden, können einem anderen Zeitplan folgen als das offizielle Release auf php.net. Ein container image ist eine paketierte Kopie von Software und der für ihre Ausführung erforderlichen Umgebung. Administratoren, die eine dieser Verteilungsmethoden nutzen, sollten prüfen, wann ihr jeweiliger Anbieter den korrigierten PHP-Build verfügbar machen wird.
Vor einer Änderung von PHP sollte eine aktuelle Kopie der Website-Dateien und der database erstellt werden. Die database ist der strukturierte Speicher, der die Inhalte und Einstellungen von WordPress enthält. Außerdem sollte überprüft werden, ob sich das Backup wiederherstellen lässt. Websites mit einem staging site, also einer separaten Testkopie, die nicht von Besuchern genutzt wird, sollten das Update dort installieren und testen, bevor die öffentliche Website geändert wird. Die php.net-Homepage wird das Release voraussichtlich ankündigen, auch wenn es früher als geplant erscheint.
Wordfence zufolge überwacht sein Threat-Intelligence-Team das geplante Release. Nachdem das PHP-Sicherheitsteam die noch fehlenden technischen Details veröffentlicht hat, will Wordfence prüfen, wie sich die Schwachstellen auf WordPress auswirken könnten und ob ein Schutz durch eine firewall möglich ist. Eine firewall ist Software, die den Datenverkehr untersucht und schädliche Anfragen ablehnen kann. Wordfence weist außerdem darauf hin, dass sich manche Schwachstellen innerhalb von PHP nur durch eine Aktualisierung von PHP beheben lassen. Damit bleibt das Server-Update die wichtigste Reaktion, unabhängig davon, ob Regeln für die firewall umsetzbar sind.
Wordfence plant, seiner Analyse nach der Veröffentlichung die betroffenen und korrigierten Versionen hinzuzufügen. Care-Kunden können während der Geschäftszeiten Unterstützung bei der Incident Response anfordern, während der Response-Service rund um die Uhr an 365 Tagen im Jahr verfügbar ist und eine Reaktionszeit von einer Stunde bietet.
Für Betreiber, die die Hostingebene als Managed Service beziehen möchten, bietet AEU Hosting vollständig abgesichertes Managed WordPress Hosting an. Unabhängig vom Hostingmodell bestehen die unmittelbaren Prioritäten darin, die aktuelle PHP-Version zu ermitteln, zu bestätigen, wer das PHP security update bereitstellen wird, ein geprüftes Backup vorzubereiten und das korrigierte Release so schnell einzuspielen, wie es sichere Kompatibilitätsprüfungen erlauben.