Kritisches PHP-Sicherheitsupdate: WordPress rät Administratoren zum sofortigen Handeln
Das offizielle PHP-Projekt hat ein dringendes Sicherheitsupdate veröffentlicht, das zwei kritische Schwachstellen in der weit verbreiteten Skriptsprache schließt. Die Sicherheitslücken betreffen nicht allein WordPress, sondern sämtliche Server und Anwendungen, auf denen PHP ausgeführt wird. Dennoch hat das WordPress-Sicherheitsteam nun eine explizite Warnung und Handlungsempfehlung an alle Website-Betreiber herausgegeben.
Was ist passiert?
Im PHP-Kern wurden zwei Schwachstellen mit dem Schweregrad „kritisch“ entdeckt. Details zur genauen Funktionsweise werden in solchen Fällen meist zunächst zurückgehalten, um Angreifern keine Vorlage für automatisierte Exploits zu liefern. Da ein Großteil des modernen Webs – darunter Content-Management-Systeme wie WordPress – auf PHP basiert, stellt die Lücke ein potenziell hohes Risiko für Serverübernahmen oder Datendiebstahl dar.
Ein Update für WordPress selbst ist weder erforderlich noch geplant, da das Problem auf Serverebene im PHP-Interpreter liegt und nicht im Code des CMS.
Was müssen Website-Betreiber jetzt tun?
Aktualität beim Hoster prüfen:
Viele Managed-Hosting-Anbieter rollen Sicherheits-Patches automatisiert aus oder schützen ihre Server temporär über Web Application Firewalls (WAF). Dennoch sollten Administratoren im Hosting-Dashboard oder beim Support überprüfen, ob die installierte PHP-Version bereits auf dem neuesten Stand ist.
Eigene PHP-Version ermitteln:
Innerhalb von WordPress lässt sich die aktive PHP-Version direkt im Dashboard einsehen:
Pfad: Werkzeuge → Website-Zustand → Reiter Bericht → Bereich Server.
Veraltete Versionen abschalten (EOL-Warnung):
PHP-Versionen vor PHP 8.2 erhalten vom PHP-Entwicklerteam keine offiziellen Sicherheitsupdates mehr (End of Life). Wer noch eine ältere Version einsetzt und seinen Server selbst verwaltet, sollte laut offiziellen Cybersicherheitsbehörden wie dem britischen National Cyber Security Centre (NCSC) drastische Schritte in Erwägung ziehen:
„Ist eine sofortige Behebung nicht machbar, sollten Organisationen erwägen, das System vorübergehend offline zu nehmen, bis die Risiken vollständig eingedämmt sind.“
Fazit & Ausblick
Die Warnung unterstreicht einmal mehr die Notwendigkeit, nicht nur Themes und Plugins aktuell zu halten, sondern auch die zugrundeliegende Server-Infrastruktur regelmäßig zu warten. Wer seine Website auf modernen, unterstützten PHP-Versionen (PHP 8.2 oder neuer) betreibt und mit einem verlässlichen Hoster zusammenarbeitet, minimiert das Angriffsrisiko erheblich. Für alle anderen ist das jetzige Sicherheitsupdate der definitive Weckruf für eine Systemaktualisierung.