PHP-Sicherheitsupdate: Welche Joomla- und WordPress-Websites den Patch erhalten

Das PHP-Sicherheitsteam hat für den 21. Oktober 2026 um 14:00 Uhr UTC ein Sicherheitsupdate für zwei Schwachstellen angekündigt. Ob eine Website den Patch erhält, hängt vom PHP-Zweig und vom Hosting-Anbieter ab. Betreiber sollten daher jetzt prüfen, auf welcher Version ihre Seiten laufen.

Das ist angekündigt

Das PHP-Sicherheitsteam will am 21. Oktober 2026 um 14:00 Uhr UTC zwei Sicherheitslücken schließen. Beide wurden mit einem CVSS-v4.0-Wert von 9,2 bewertet. CVE-IDs, betroffene und korrigierte Versionen sind bislang nicht bekannt und werden erst mit dem Update veröffentlicht. Das ist das übliche Vorgehen, damit Angreifer durch eine Vorabmeldung keinen Vorsprung erhalten.

Das Datum gilt als spätester Termin. PHP behält sich vor, früher zu veröffentlichen, falls Details vorab bekannt werden oder Hinweise auf eine aktive Ausnutzung auftauchen. Die gepatchten Builds erscheinen als Point-Releases für die Zweige 8.2.x, 8.3.x, 8.4.x und 8.5.x. PHP 8.6 befindet sich noch in der Release-Candidate-Phase und ist kein stabiler Zweig.

Warum Joomla- und WordPress-Seiten betroffen sind

Jede Anfrage an eine Joomla- oder WordPress-Website wird vom PHP-Interpreter auf dem Server verarbeitet. Eine Schwachstelle in PHP liegt damit unterhalb von CMS, Plugins, Erweiterungen und allen Schutzmaßnahmen im Anwendungscode. Wie sich die beiden Lücken ausnutzen lassen, ist bis zur Veröffentlichung unklar. Wegen der Schwere der Bewertung lohnt sich die Vorbereitung dennoch schon jetzt.

Die PHP-Version lässt sich weder in WordPress noch in Joomla einstellen. Sie wird auf dem Server festgelegt, und den Patch spielt der Hosting-Anbieter ein. Das Control Panel zeigt nur die Versionen, die der Anbieter installiert hat.

Welche PHP-Versionen den Fix erhalten

Mit Patch: PHP 8.2, 8.3, 8.4 und 8.5

Ohne Patch: PHP 8.1 und älter, da diese Zweige das Support-Ende erreicht haben

Sicherheitspatches erscheinen sowohl für aktiv unterstützte Zweige als auch für Zweige mit reinem Sicherheitssupport. Deshalb sind 8.2 und 8.3 trotz beendeter aktiver Unterstützung dabei. Die genauen Zeiträume zeigt die Seite „Supported Versions“ auf php.net.

Für PHP 8.2 endet das Sicherheitsfenster am 31. Dezember 2026. Der nächste Patch könnte diese Version nicht mehr erreichen, ein Umstieg auf 8.3 oder höher sollte daher eingeplant werden.

Neben dem Zweig zählt auch der Patch-Stand. Eine Website auf 8.4, die seit einem Jahr nicht aktualisiert wurde, kann weiter zurückliegen als eine Seite auf 8.3, die erst vergangene Woche ein Update erhielt.

Zahlen aus der Praxis

Die Daten stammen von aktiv verwalteten Joomla- und WordPress-Websites, die Agenturen über mySites.guru betreuen. Gemessen wurde am 20. Oktober 2026.

77,3 % der Websites laufen auf PHP 8.2 bis 8.5 und erhalten den Patch, sobald der Host ihn einspielt.

22,7 % laufen auf PHP 8.1 oder älter und bekommen keine gepatchte Version.

16,6 % aller Websites nutzen sogar PHP 7 oder älter.

Bei Joomla liegt der Anteil mit PHP 8.1 oder älter bei 23,9 %, bei WordPress bei 18,0 %.

Grafik Quelle: mySites.guru

Warum WordPress oft auf veraltetem PHP läuft

WordPress empfiehlt offiziell PHP 8.3 oder höher, stuft aber PHP 7.4 weiterhin als kompatibel ein. Diese Version ist seit November 2022 nicht mehr unterstützt. Frühere WordPress-Versionen liefen sogar mit PHP 7.2, dessen Support im November 2020 endete. So soll verhindert werden, dass ein Update an der PHP-Version scheitert. Als Folge zwingt nichts eine Website dazu, die alte PHP-Version zu verlassen.

Joomla setzt höhere Mindestanforderungen: Joomla 5 benötigt mindestens PHP 8.1 und empfiehlt 8.3, Joomla 6 benötigt PHP 8.3 und empfiehlt 8.4. Das treibt Upgrades voran. Ältere Joomla-Seiten, die nicht auf eine neue Hauptversion wechseln können, bleiben aber an die PHP-Version ihrer aktuellen Joomla-Version gebunden. Das erklärt den höheren Wert bei Joomla.

Spielt der Host Patches zuverlässig ein?

Das Sicherheitsupdate ist ein Patch-Release innerhalb eines Zweigs, etwa von 8.3.x auf 8.3.y. Es ist binärkompatibel und ein direkter Ersatz. Der Host kann es also auf allen Servern ausrollen, ohne dass sich für Betreiber etwas ändert. Gut geführte Anbieter tun das innerhalb weniger Tage.

Anders verhält es sich beim Sprung auf eine neue Haupt- oder Nebenversion, etwa von 8.1 auf 8.3. Dabei können Themes, Plugins und Erweiterungen betroffen sein, weshalb vorab getestet werden muss. Wer Point-Releases mit dem Hinweis ablehnt, PHP-Updates könnten Websites lahmlegen, verwechselt beide Update-Arten.

Ob der Host hinterherhinkt, lässt sich im PHP-Selektor des Control Panels prüfen. Er zeigt nur die installierten Versionen. Fehlt dort die gepatchte Version nach der Veröffentlichung, hilft ein Support-Ticket mit der Frage nach dem Termin.

Für die Versionsprüfung sollte die Angabe herangezogen werden, die die Website beim Bearbeiten einer Anfrage meldet. Der Befehl php -v in der Kommandozeile ist weniger zuverlässig, da CLI-Binärdatei und Webserver-Version oft verschiedene Builds sind.

Was Betreiber jetzt tun können

PHP-Zweig ermitteln: Maßgeblich ist die Version, die die Website bei der Verarbeitung einer Anfrage meldet. mySites.guru erfasst genau diesen Wert und gleicht ihn stündlich mit der Liste von php.net ab.

Zweig 8.2 bis 8.5: Den Host nach dem Termin für die gepatchte Version fragen und diese im Control Panel auswählen, sobald sie verfügbar ist.

Zweig 8.1 oder älter: Ein Versions-Upgrade planen, da kein Patch erscheint. Zuerst prüfen, ob das CMS oder eine Erweiterung die PHP-Version vorgibt, denn dieses Upgrade muss vor dem PHP-Upgrade erfolgen. Ein typisches Beispiel ist eine Joomla-3-Website.

Viele Websites: Die Prüfung über eine gemeinsame Liste durchführen. Die PHP-Version lässt sich dort als eigene Spalte führen, CMS-Upgrades können gebündelt über ein Dashboard erfolgen.

Nach der Veröffentlichung am 21. Oktober stehen betroffene und korrigierte Versionen fest. Wer die PHP-Version aller Websites bereits kennt, kann dann schnell klären, welche Seiten zu aktualisieren sind. Ein kostenloses Audit liefert diese Übersicht in wenigen Minuten.

Quelle: Angaben und Messdaten nach mySites.guru

Redaktion AllAboutSecurity

Bild: KI-generiert