PHP-Sicherheitsupdate: Welche WordPress- und Joomla-Websites einen Patch erhalten

Das PHP-Sicherheitsteam hat für den 21. Oktober 2026 ein wichtiges Sicherheitsupdate angekündigt. Zwei als kritisch eingestufte Schwachstellen sollen geschlossen werden. Für Betreiber von WordPress- und Joomla-Websites ist entscheidend, welche PHP-Version ihr Server verwendet und wie schnell der Hosting-Anbieter die Aktualisierung bereitstellt.

Zwei kritische PHP-Sicherheitslücken sollen geschlossen werden

Die Veröffentlichung des Sicherheitsupdates ist für den 21. Oktober 2026 um 14:00 Uhr UTC vorgesehen, was 16:00 Uhr mitteleuropäischer Sommerzeit entspricht.

Beide Schwachstellen wurden nach dem Bewertungssystem CVSS 4.0 mit 9,2 Punkten eingestuft. Damit gelten sie als kritisch.

Konkrete Informationen zu den Sicherheitslücken, einschließlich der CVE-Kennungen sowie der betroffenen und korrigierten PHP-Versionen, sollen erst mit der Veröffentlichung bekannt gegeben werden. Dadurch soll verhindert werden, dass Angreifer technische Details vorzeitig ausnutzen.

Bei Hinweisen auf eine aktive Ausnutzung oder einer vorzeitigen Offenlegung könnte das Update auch früher erscheinen.

Geplant sind Sicherheitskorrekturen für PHP 8.2, 8.3, 8.4 und 8.5. PHP 8.6 befindet sich dagegen noch in der Release-Candidate-Phase.

Warum WordPress und Joomla von PHP-Sicherheitslücken betroffen sein können

WordPress und Joomla basieren auf PHP. Der Interpreter verarbeitet serverseitige Anfragen und bildet damit eine zentrale technische Grundlage beider Content-Management-Systeme.

Sicherheitsprobleme innerhalb von PHP können deshalb unabhängig von installierten Themes, Plugins oder Erweiterungen relevant werden.

Ob und unter welchen Voraussetzungen sich die angekündigten Schwachstellen tatsächlich ausnutzen lassen, ist bislang nicht bekannt. Aufgrund der hohen Risikobewertung sollten Website-Betreiber dennoch frühzeitig ihren Versionsstand kontrollieren.

Welche PHP-Versionen Sicherheitsupdates erhalten

Für die angekündigten Korrekturen ergibt sich folgende Einteilung:

• PHP 8.2 bis 8.5: Sicherheitsupdates sind vorgesehen.

• PHP 8.1 und älter: Die offiziellen Unterstützungszeiträume sind abgelaufen. Reguläre Sicherheitsupdates werden nicht mehr bereitgestellt.

PHP 8.2 und 8.3 erhalten weiterhin Sicherheitskorrekturen, obwohl ihre aktive Entwicklungsunterstützung bereits beendet wurde.

Für PHP 8.2 endet die Sicherheitsunterstützung am 31. Dezember 2026. Betreiber sollten deshalb rechtzeitig einen Wechsel auf eine länger unterstützte Version vorbereiten.

Entscheidend ist außerdem der konkrete Patchstand. Eine regelmäßig aktualisierte PHP-8.3-Installation kann sicherheitstechnisch besser aufgestellt sein als eine PHP-8.4-Installation, die seit längerer Zeit keine Updates erhalten hat.

Mehr als jede fünfte untersuchte Website nutzt veraltetes PHP

Eine Auswertung der Verwaltungsplattform mySites.guru zeigt, dass zahlreiche Websites weiterhin nicht unterstützte PHP-Versionen einsetzen.

Die Daten wurden am 20. Oktober 2026 auf Grundlage aktiv verwalteter WordPress- und Joomla-Websites erhoben.

Bei Joomla-Websites liegt der Anteil der Installationen mit PHP 8.1 oder älter bei 23,9 Prozent. Unter den untersuchten WordPress-Websites beträgt er 18,0 Prozent.

Die Zahlen verdeutlichen, dass ein erheblicher Teil der erfassten Websites ohne Versionswechsel keine regulären PHP-Sicherheitskorrekturen mehr erhält.

Unterschiedliche Anforderungen bei WordPress und Joomla

WordPress empfiehlt PHP 8.3 oder neuer, unterstützt aus Kompatibilitätsgründen jedoch weiterhin ältere Versionen wie PHP 7.4. Deren offizieller Sicherheitssupport endete bereits im November 2022.

Diese breite Kompatibilität erleichtert den Betrieb bestehender Websites, kann aber notwendige Modernisierungen verzögern.

Joomla stellt strengere Anforderungen. Joomla 5 benötigt mindestens PHP 8.1 und empfiehlt PHP 8.3. Joomla 6 setzt PHP 8.3 voraus und empfiehlt PHP 8.4.

Ältere Joomla-Installationen können dennoch auf überholten PHP-Versionen verbleiben, wenn technische Abhängigkeiten einen CMS-Wechsel erschweren.

Welche Verantwortung Hosting-Anbieter bei PHP-Updates tragen

Die PHP-Version einer Website wird auf Serverebene festgelegt. Deshalb spielt der Hosting-Anbieter bei der Bereitstellung von Sicherheitsupdates eine entscheidende Rolle.

Sogenannte Point-Releases aktualisieren einen bestehenden PHP-Zweig, beispielsweise von einer PHP-8.3-Version auf eine neuere 8.3-Ausgabe. Solche Aktualisierungen sind grundsätzlich als kompatible Ersatzversionen vorgesehen.

Ein Wechsel von PHP 8.1 auf PHP 8.3 ist dagegen umfangreicher. Dabei können Anpassungen an Plugins, Themes oder Erweiterungen erforderlich werden.

Betreiber sollten deshalb zwischen regulären Sicherheitskorrekturen und größeren Versionswechseln unterscheiden.

So lässt sich die tatsächlich verwendete PHP-Version überprüfen

Die Versionsinformation im Hosting-Control-Panel liefert einen ersten Anhaltspunkt. Entscheidend ist jedoch die PHP-Version, die der Webserver tatsächlich für die Website verwendet.

Der Kommandozeilenbefehl php -v muss nicht denselben Versionsstand anzeigen, da Kommandozeile und Webserver unterschiedlich konfiguriert sein können.

Fehlt eine angekündigte Sicherheitsversion beim Hosting-Anbieter, empfiehlt sich eine direkte Nachfrage beim technischen Support.

Was Website-Betreiber jetzt unternehmen sollten

Zunächst sollten Administratoren den verwendeten PHP-Zweig und dessen Patchstand feststellen.

Bei PHP 8.2 bis 8.5 gilt es, die Bereitstellung der Sicherheitskorrekturen zu verfolgen und die Aktualisierung zeitnah durchzuführen.

Websites mit PHP 8.1 oder älter benötigen dagegen einen geplanten Versionswechsel. Vorher sollten die Kompatibilität des CMS sowie sämtliche installierten Erweiterungen geprüft werden.

Agenturen mit zahlreichen betreuten Websites können eine zentrale Versionsübersicht nutzen, um veraltete Installationen systematisch zu identifizieren und Aktualisierungen zu priorisieren.

Fazit: Aktuelle PHP-Versionen bleiben entscheidend für die Website-Sicherheit

Das angekündigte PHP-Sicherheitsupdate unterstreicht die Bedeutung einer kontinuierlichen Serverwartung. Während unterstützte PHP-Zweige Sicherheitskorrekturen erhalten sollen, bleiben ältere Installationen ohne regulären Patchschutz.

Für WordPress- und Joomla-Betreiber ist deshalb eine aktuelle Bestandsaufnahme wichtig. Wer seine PHP-Version kennt und Updates mit dem Hosting-Anbieter abstimmt, kann nach Veröffentlichung der Sicherheitskorrekturen schneller reagieren und vermeidbare Risiken reduzieren.