PHP-Sicherheitslücke: Was WordPress-Betreiber jetzt tun sollten – und warum sich ein Blick auf Hugo lohnt

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat am 21. Oktober 2026 eine deutliche Warnung veröffentlicht: „PHP: BSI warnt vor kritischen Schwachstellen – Sicherheitsupdate noch heute notwendig“.

Nach aktuellen Informationen des BSI sind alle bekannten PHP-Versionen, zurückgehend bis mindestens PHP 5, verwundbar. Laut BSI kann derzeit nicht ausgeschlossen werden, dass Angreifer aus der Ferne schadhaften Code auf Webservern mit PHP-Anwendungen ausführen. Im zugehörigen IT-Sicherheitshinweis nennt das BSI die Schwachstellen CVE-2026-109618 und CVE-2026-109619, beide mit einem CVSS-Wert von 9.2 von 10 bewertet.

BSI-Vizepräsident Thomas Caspers:

„Wir halten eine kurzfristige, großflächige Ausnutzung innerhalb weniger Stunden nach Erscheinen der Sicherheitsupdates für wahrscheinlich: Angreifer können diese mittels KI-gestützter Werkzeuge innerhalb kurzer Zeit analysieren und entsprechende Exploits generieren. Es besteht also unverzüglicher Handlungsbedarf!“

Die Patches sind inzwischen da: Das PHP-Projekt hat am 21. Oktober um 16 Uhr deutscher Zeit die Versionen PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35 veröffentlicht (Sicherheitshinweis auf php.net). PHP selbst schreibt dazu, dass es keine vollständigen Workarounds gibt – das Update ist der einzige sichere Weg.

Kein Grund zur Panik, aber ein klarer Grund, heute zu handeln. Denn WordPress läuft auf PHP. Wer eine WordPress-Website betreibt, ist also betroffen – unabhängig davon, wie gut Plugins und Theme gepflegt sind.

Was WordPress-Betreiber jetzt sofort tun sollten

1. PHP-Version prüfen. Im WordPress-Backend unter Werkzeuge → Website-Zustand → Bericht → Server sehen Sie, welche PHP-Version Ihre Seite nutzt. Alternativ zeigt das Kundenmenü Ihres Hosters die Version an; auf eigenen Servern hilft php -v.

2. PHP heute aktualisieren – oder den Hoster fragen. Auf eigenen Servern spielen Sie das Update über die Paketverwaltung Ihrer Linux-Distribution ein. Wichtig: Distributionen liefern oft zurückportierte Fixes, deren Versionsnummer nicht 8.x.y entspricht. Gleichen Sie deshalb mit den Sicherheitshinweisen Ihrer Distribution ab. Bei Shared- oder Managed-Hosting kümmert sich in der Regel der Hoster um PHP. Fragen Sie dort heute aktiv nach, ob die gepatchte Version eingespielt ist – und wählen Sie im Hosting-Menü, falls möglich, eine unterstützte PHP-Version.

3. Veraltete PHP-Versionen ernst nehmen. Laut BSI haben alle PHP-Versionen vor 8.2 ihr Lebensende erreicht; PHP 8.2 erhält nur noch bis Jahresende Sicherheitsupdates. Läuft Ihre Website noch auf PHP 7.x oder 8.0/8.1, ist jetzt der richtige Moment für den Wechsel auf eine unterstützte Version.

4. Vorher ein Backup. Sichern Sie Dateien und Datenbank, bevor Sie PHP-Version, WordPress oder Plugins aktualisieren – und prüfen Sie, dass sich das Backup auch wiederherstellen lässt.

5. WordPress-Core, Plugins und Themes aktualisieren. Die PHP-Lücke steckt nicht in WordPress selbst. Ein Wechsel der PHP-Version kann aber bei veralteten Plugins oder Themes zu Fehlern führen. Aktuelle Komponenten machen das Update deutlich unproblematischer.

6. Ungenutzte Plugins und Themes entfernen. Was nicht gebraucht wird, sollte nicht auf dem Server liegen. Deaktivieren reicht nicht – löschen Sie es.

7. Auf Auffälligkeiten achten. Das BSI rät, exponierte PHP-Webserver verstärkt zu beobachten. Typische Warnsignale: unbekannte Administrator-Konten, neue oder veränderte PHP-Dateien (etwa im Upload-Ordner), unerwartete Weiterleitungen, Spam-Seiten im Google-Index oder ungewöhnliche Last.

8. Status-Seite des Hosters im Blick behalten. Viele Hoster informieren dort über laufende Wartungen und den Patchstand.

Kann das Update nicht kurzfristig eingespielt werden, nennt das BSI als Optionen eine Web Application Firewall (sofern sie passende Erkennungsregeln für diese Lücken hat) oder die vorübergehende Trennung des Webservers vom Internet.

Warum solche Lücken WordPress-Websites so direkt treffen

Eine klassische WordPress-Installation ist eine Anwendung, die bei jedem Seitenaufruf live arbeitet: PHP führt Code aus, die Datenbank liefert Inhalte, und der Administrationsbereich ist öffentlich erreichbar. Dazu kommen Theme, Page Builder, Formular-Plugins, SEO-Tools, Slider und weitere Erweiterungen.

Jede dieser Komponenten muss gepflegt und abgesichert werden. Und wenn – wie jetzt – die Grundlage selbst betroffen ist, hilft auch das sorgfältigste Plugin-Management nicht: Dann muss die Laufzeitumgebung gepatcht werden, und zwar schnell.

Selbst wenn sich die Inhalte einer Website kaum ändern, verlangt das System also laufend Aufmerksamkeit.

Wie Hugo die Angriffsfläche langfristig verkleinert

Hugo ist ein Static-Site-Generator. Er erzeugt alle HTML-Seiten, bevor die Website veröffentlicht wird. Besucher warten nicht darauf, dass PHP-Code läuft oder Inhalte aus einer Datenbank zusammengesetzt werden.

Für die Sicherheit bedeutet das: Eine Hugo-Website benötigt zur Laufzeit weder PHP noch eine Datenbank noch einen öffentlichen Admin-Bereich. Eine PHP-Lücke wie die aktuelle betrifft die ausgelieferte Website damit nicht – viele typische WordPress-Angriffswege fallen weg.

Ehrlich gesagt: Sicherheit erledigt sich damit nicht von selbst. Hosting, Formulare und externe Dienste müssen weiterhin sauber konfiguriert und gepflegt werden. Die technische Angriffsfläche ist aber deutlich kleiner – und die Wartung planbarer: keine Core-Updates, keine Notfall-Patches für Plugins, keine Kompatibilitätsprobleme zwischen Theme, Page Builder und Erweiterungen. Inhalte, Design und Funktionen liegen transparent und versioniert in einem Projekt. Nebenbei laden statische Seiten spürbar schneller.

Aus der Praxis: eine Migration von WordPress zu Hugo

In einem umfangreichen Migrationsprojekt haben wir 47 freigegebene Seiten und Beiträge, 64 Veranstaltungen und mehr als 90 Medien in eine neue Hugo-Struktur überführt.

Die ursprüngliche Website stützte sich auf einen Page Builder, mehrere Formularsysteme, zwei SEO-Lösungen, mehrere Slider-Plugins sowie weitere Erweiterungen. Einige Plugins luden noch öffentliche Dateien, obwohl ihre Funktion gar nicht mehr genutzt wurde.

Wir haben die Inhalte aus den proprietären Builder-Strukturen gelöst, bestehende URLs, Weiterleitungen und SEO-Metadaten systematisch geprüft und jede Integration bewusst neu gebaut, ersetzt oder stillgelegt. Das Ergebnis war keine oberflächliche Kopie, sondern eine technisch neu aufgebaute, transparentere Plattform – mit den freigegebenen Inhalten, dem bestehenden Erscheinungsbild und den wichtigen Geschäftsprozessen.

So läuft eine Migration ab

1. Analyse und Audit: Wir untersuchen Website, Inhalte, URLs, Medien, Plugins, Formulare und externe Dienste – und trennen Wesentliches von historischem Ballast.
2. Migrationsplan: Jedes Element erhält eine klare Entscheidung: übernehmen, neu bauen, umschreiben, weiterleiten, stilllegen oder genauer prüfen.
3. Umsetzung in einer geschützten Vorschau: Inhalte und Medien werden übertragen, Funktionen als schlanke Komponenten neu gebaut – zunächst in einer geschützten Vorschauumgebung.
4. Prüfung: Inhalte, Links, SEO-Metadaten, Formulare, Darstellung auf allen Geräten, Barrierefreiheit und Performance werden vor dem Start getestet.
5. Launch mit Rückfallplan: Veröffentlicht wird erst nach Freigabe – mit Backups, klaren Zuständigkeiten und einem getesteten Rollback. Die alte WordPress-Installation wird nicht vorschnell abgeschaltet.

Ist Hugo für jede Website richtig?

Nein – und das sollte vor Projektbeginn geklärt werden.

Hugo eignet sich oft hervorragend für Unternehmens- und Dienstleister-Websites, Landingpages, Blogs, Portfolios sowie Veranstaltungs- und Informationsseiten. Für einen großen Onlineshop, ein komplexes Mitgliedersystem oder eine Website, die täglich von einem großen, nicht technischen Redaktionsteam im Browser bearbeitet wird, ist eine andere Plattform meist die bessere Wahl.

Erst patchen, dann in Ruhe planen

Heute gilt: PHP aktualisieren, Backups prüfen, Updates einspielen. Danach lohnt sich die Frage, ob Ihre Website dauerhaft eine PHP-Laufzeitumgebung braucht.

In einem kostenlosen, unverbindlichen Erstgespräch prüfen wir Ihre WordPress-Website, ihre wesentlichen Funktionen und die möglichen Risiken einer Migration. Sie erhalten eine realistische Einschätzung des Aufwands – welche Inhalte sich übertragen lassen, welche Funktionen neu gebaut werden müssen und welche Entscheidungen vor dem Umzug anstehen.

Jetzt kostenloses Erstgespräch vereinbaren

Quellen: BSI-Pressemitteilung vom 21.10.2026, BSI-IT-Sicherheitshinweis 2026-297981-1032 (PDF), php.net Security Advisory. Stand: 21. Oktober 2026.