PHP-Sicherheitslücke. Ist deine Website betroffen?

Im Oktober 2026 wurde eine schwere PHP-Sicherheitslücke bekannt. Über sie kann ein Fremder ohne Passwort deine Website übernehmen. Betroffen sind vor allem WordPress-Seiten, und WordPress läuft auf fast 4 von 10 Websites.

Kostenlos prüfen lassen →In 2 Minuten selbst nachsehen ↓

Kevin Belmonte, Webentwickler aus Ludwigsburg. Quellen nachgelesen am 23. Oktober 2026, php.net am 28. Oktober 2026.

Bin ich betroffen? In 2 Minuten selbst nachsehen.

Die PHP-Version deiner WordPress-Seite zeigt dir WordPress selbst. Du brauchst nur deine Anmeldung.

  1. Bei WordPress anmelden, meist unter deine Adresse plus /wp-admin.
  2. Links im Menü auf Werkzeuge und dann Website-Zustand.
  3. Oben den Reiter öffnen: Bericht.
  4. Den Abschnitt Server aufklappen. Dort steht die PHP-Version.

Kein Zugang, oder du weißt nicht, ob deine Seite WordPress ist? Schick mir den Link, ich schaue von außen.

Was die Zahl im Bericht bedeutet

  • Repariert8.2.35, 8.3.36, 8.4.27 und 8.5.12 oder höherDiese Lücke ist bei dir zu. Wichtig bleibt, dass auch die nächsten Updates jemand einspielt.
  • Hoster fragen8.2 bis 8.5 mit kleinerer EndzahlNoch nicht repariert, oder dein Hoster hat still nachgebessert, ohne die Nummer zu ändern. Frag ihn heute, am besten schriftlich.
  • Kein Update mehr8.1, 8.0, 7.x oder älterFür diese Fassung kommt keine offizielle Reparatur. Die Seite muss auf ein neueres PHP, und das vertragen alte Erweiterungen oft nicht.

Warum es vor allem WordPress-Seiten trifft. Mehr als jeder dritte hat denselben Laden.

Betroffen ist jede Website, die mit PHP läuft. Die größte Gruppe davon sind WordPress-Seiten, denn jede WordPress-Seite braucht PHP. Bei Handwerksbetrieben in der Region ist es mehr als jede dritte: Von 655 Websites, die Google Maps in Ludwigsburg, Stuttgart und Heilbronn zu sechs Gewerken zeigt, laufen mindestens 235 mit WordPress. Zählt man Systeme wie TYPO3 und Joomla dazu, die ebenfalls PHP brauchen, ist es fast jede zweite. Oft wurde so eine Seite einmal gebaut, vom Neffen, vom Freelancer oder von der Agentur von damals, und seitdem schaut keiner mehr drauf. Alte Erweiterungen vertragen kein neues PHP, also bleibt die Seite auf der alten Fassung, und für die gibt es jetzt kein Update. Weltweit kommt bei mehr als der Hälfte der Server, die ihre PHP-Fassung zeigen, keins mehr.

  1. Deine Website ist ein kleiner Laden.

    Er hat Tag und Nacht offen. Eingerichtet ist er bei vielen Betrieben mit WordPress. Hinter der Theke arbeitet PHP: Es nimmt alles an, was reinkommt, und kümmert sich darum.

  2. Kunden werfen Zettel ein.

    Ein Rückrufwunsch, eine Anfrage über dein Formular. PHP nimmt den Zettel an und legt ihn für dich ins Fach. So soll es sein.

  3. Ein Fremder wirft einen präparierten Zettel ein.

    Die Lücke steckt in PHP selbst. Ist der Zettel geschickt gebaut, kommt PHP durcheinander und führt aus, was draufsteht, als käme es von dir. Ein Passwort braucht der Fremde dafür nicht.

  4. Dann gehört dein Laden ihm.

    Er nimmt sich die Schlüssel. Dann greift er in dein Fach und liest mit, was deine Kunden einwerfen: Namen, Nummern, Anfragen. Du merkst davon oft lange nichts.

  5. Dann warnt Google vor deinem eigenen Laden.

    Merkt Google, dass jemand deine Seiten verändert hat, steht bei dir in den Suchergebnissen: „Diese Website wurde möglicherweise gehackt.“ Das lesen deine Kunden, bevor sie anrufen. Weg ist der Hinweis erst, wenn alles repariert ist und Google neu geprüft hat.

  6. Und du stehst draußen. Mit dem Ärger und den Kosten.

    Er kann dein Passwort ändern, dann kommst du selbst nicht mehr rein. Sauber wird die Seite erst, wenn jemand alles durchsucht und neu aufsetzt. Die Zeit und das Geld dafür bleiben an dir hängen.

  7. Und fast jeder zweite Laden braucht PHP.

    Hinter jeder WordPress-Seite steht PHP an der Theke, bei TYPO3 und Joomla genauso. Angreifer suchen solche Läden automatisch ab, einen nach dem anderen. Offen steht, wer PHP nicht repariert hat.

Zeichnung, stark vereinfacht. So funktioniert die Lücke im Bild.

Was passiert, wenn jemand drin ist. Und warum du es oft als Letzter merkst.

Er verschickt über deinen Server massenhaft Spam-Mails mit deinem Absender. Kommt deine Adresse deshalb auf eine Sperrliste, landen womöglich auch deine Angebote nicht mehr beim Kunden. Dazu baut er fremde Werbung in deine Seite ein oder schickt deine Besucher weiter. Für dich sieht deine Seite oft aus wie immer. So steht Googles Warnung dann bei dir:

Beispiel mit einem ausgedachten Betrieb. So steht Googles Hinweis über dem Text.

Kommen dabei Kundendaten weg, musst du das in der Regel innerhalb von 72 Stunden der Datenschutzbehörde melden. (Art. 33 DSGVO)

Warum dir das mit mir nicht passiert. Mit Wartung läuft deine Seite ohne PHP.

Mit meiner Wartung läuft deine Website ohne PHP und ohne WordPress. Diese Lücke betrifft sie nicht, und um alles andere kümmere ich mich.

Auf dem Server liegen nur fertige Seiten. Kein WordPress, keine Erweiterungen, nichts, was veraltet. Das Formular läuft über einen eigenen Weg, den ich pflege.

Mehr zur Website mit Wartung →

Typische WordPress-Seite

  • ErweiterungenUpdate
  • ThemeUpdate
  • WordPressUpdate
  • DatenbankUpdate
  • PHPUpdate

Jedes Teil braucht Updates.

Meine Website mit Wartung

  • Fertige Seiten
  • Formular-Weg

Darum kümmere ich mich.

Wartung Basis69 € im MonatHosting mit SSL, Backups, Sicherheitsupdates, Überwachung. Freiwillig und monatlich kündbar.

Billig gebaut ist nicht billig. Wenn sich danach keiner kümmert.

Ein Freelancer baut ab etwa 1.000 €, sagt die IHK Rhein-Neckar. Frag ihn, wer danach die Updates macht. Steht das nicht im Angebot, macht es keiner.

Wer macht danach die Updates?Die eine Frage, die in jedes Angebot gehört.

  • Freelancer, laut IHK Rhein-Neckarab etwa 1.000 €Updates: frag nach
  • Website bei mir, Paket Silberab 2.245 €Referenzpreis für die ersten 5 Betriebe, statt 3.370 €.
  • Wartung bei mir, mit Updatesab 69 € im Monatfreiwillig und monatlich kündbar

Dann musst du dich um nichts kümmern.

Deinen Preis ausrechnen →Was kostet eine Website anderswo? →
Kevin Belmonte, Webentwickler aus Ludwigsburg, prüft Websites von Handwerksbetrieben

Kostenloser Website-Check. Ich sag dir ehrlich, wo du stehst.

Wer macht bei dir die Updates? Schick mir deinen Link. Ich schaue mir an, was von außen zu sehen ist, und sage dir, was du deinen Hoster fragen musst. Antwort innerhalb von 24 Stunden.

Lieber per WhatsApp

Dein Link genügt. Ich schaue nach, du entscheidest.

  • Ob deine Seite mit WordPress läuft
  • Welche PHP-Fassung dein Server von außen zeigt
  • Was du deinen Hoster fragen solltest
  • Ich teste nichts an deinem Server, ich sehe nur, was jeder sieht
Kein Login nötig. Deine Angaben nutze ich nur für diese Anfrage. Mehr in der Datenschutzerklärung.

Fragen zur WordPress-Sicherheitslücke. Kurz und ehrlich beantwortet.

Was du jetzt wahrscheinlich wissen willst, bevor du deinen Hoster anrufst.

Website kostenlos prüfen lassen
Mein Hoster hat doch schon ein Update gemacht. Bin ich sicher?
Hoster

Vor dieser Lücke wahrscheinlich ja. Manche Hoster reparieren, ohne die Nummer zu ändern, deshalb lass es dir schriftlich bestätigen. Für alles, was danach kommt, braucht deine Seite weiter jemanden, der die Updates einspielt.

Ist WordPress unsicher?
WordPress

Nein. WordPress selbst ist nicht das Problem. Unsicher wird jede Seite, wenn keiner mehr die Updates macht: für PHP, für WordPress und für die Erweiterungen.

Woran erkenne ich, ob meine Seite WordPress ist?
Erkennen

Häng an deine Adresse /wp-admin an, zum Beispiel muster-betrieb.de/wp-admin. Erscheint eine Anmeldung von WordPress, läuft deine Seite damit. Bist du unsicher, schick mir den Link.

Reicht es, WordPress zu aktualisieren?
WordPress-Update

Nein. Die Lücke steckt in PHP, dem Unterbau unter WordPress. Ein WordPress-Update allein schließt sie nicht. PHP aktualisiert dein Hoster, oder du stellst die Fassung in deinem Hoster-Konto um.

Mein Neffe hat die Seite gebaut. Was jetzt?
Neffe

Frag ihn, ob er sich ab jetzt um die Updates kümmert, regelmäßig und nicht nur dieses eine Mal. Wenn nicht, braucht die Seite jemand anderen. Schick mir den Link, dann sage ich dir, wo sie steht.

Kann ich meine WordPress-Seite behalten?
Behalten

Ja, wenn jemand sie pflegt. Fremde WordPress-Seiten pflege ich nicht, ich baue neu und kümmere mich danach mit meiner Wartung. Willst du deine Seite behalten, nimm eine WordPress-Wartung, die dir die Updates schriftlich zusagt.

Betrifft das auch Baukästen wie Jimdo oder Wix?
Baukasten

Nicht so wie bei WordPress. Bei einem Baukasten läuft die Technik beim Anbieter, und um die Updates kümmert er sich selbst. Du musst da nichts tun.

Meine WordPress-Seite wurde gehackt. Was tun?
Gehackt

Ruf zuerst deinen Hoster an. Er kann die Seite vom Netz nehmen und eine Sicherung von vor dem Angriff zurückspielen. Ändere danach alle Passwörter: WordPress, Hoster, E-Mail. Sind Kundendaten betroffen, musst du das in der Regel innerhalb von 72 Stunden der Datenschutzbehörde melden. Und lass die Lücke schließen, sonst ist der Fremde bald wieder drin.

Was kostet die Wartung bei dir?
Kosten

Wartung Basis kostet 69 € im Monat: Hosting mit SSL, Backups, Sicherheitsupdates, Überwachung. Freiwillig und monatlich kündbar. Die Wartung gibt es für Websites, die ich gebaut habe.

Woher die Angaben stammen. Jede Quelle mit Datum.

Zahlen und Fassungen stehen hier nur mit Quelle. Meine eigenen Preise stammen aus meiner Preisliste. Alles nachgelesen am 23. Oktober 2026, die Angaben von php.net am 28. Oktober 2026.