Das Wichtigste in Kürze
- Am 21. Oktober 2026 hat das PHP-Projekt zwei kritische Sicherheitslücken geschlossen. Betroffen ist jede Website, die auf PHP läuft, also auch jede WordPress-Website.
- Ein WordPress-Update allein schließt die Lücke nicht. Geschützt ist Ihre Website erst, wenn auf dem Server eine aktualisierte PHP-Version läuft.
- Für die meisten Träger heißt das: heute beim Hoster oder bei der Person nachfragen, die die Website betreut. Dafür reichen fünf Fragen.
- Das eigentliche Risiko ist selten WordPress selbst, sondern eine Website, für die sich niemand zuständig fühlt.
Ist die WordPress-Website unseres Trägers von der PHP-Sicherheitslücke betroffen?
Möglicherweise ja. WordPress ist in der Programmiersprache PHP geschrieben, und die Lücken stecken in PHP selbst, nicht in WordPress. Ob Ihre Website geschützt ist, hängt deshalb davon ab, ob Ihr Hoster die PHP-Version auf dem Server bereits aktualisiert hat.
Viele große Hoster haben das nach eigenen Angaben bereits erledigt, zum Beispiel IONOS und ALL-INKL. Wenn Ihre Website aber auf einem eigenen Server läuft, bei einem kleinen Anbieter liegt oder eine sehr alte PHP-Version nutzt, sollten Sie heute nachfragen. Wie das geht, steht weiter unten.
Was ist am 21. Oktober 2026 passiert?
Das PHP-Projekt hat am 21. Oktober eine Sicherheitswarnung veröffentlicht und die Versionen 8.5.12, 8.4.27, 8.3.36 und 8.2.35 bereitgestellt. Sie schließen zwei Lücken, über die Angreifer ohne Anmeldung eigenen Programmcode auf einem Webserver ausführen können. In der Fachsprache heißt das Remote Code Execution: Wer die Lücke ausnutzt, kann im schlimmsten Fall den Server übernehmen.
Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat dazu eine Cybersicherheitswarnung der Stufe Orange herausgegeben. Das bedeutet: Maßnahmen sollen unverzüglich ergriffen werden. Das BSI nennt WordPress, TYPO3, Drupal und Joomla ausdrücklich als Systeme, die auf PHP aufbauen. Einige Betreiber in Deutschland haben ihre Websites laut BSI vorsorglich vom Netz genommen, bis das Update eingespielt war.
Eine erfolgreiche Ausnutzung in der Breite ist dem BSI bisher nicht bekannt. Es beobachtet aber automatisierte Angriffsversuche und rät allen Betreibern, ihre Systeme abzusichern und auf Spuren eines Angriffs zu prüfen. Für Sie als Träger ist die Frage nach dem Ausmaß zweitrangig: Entscheidend ist, ob Ihr Server aktualisiert ist.
Wie prüfen Sie heute, ob Ihre Website geschützt ist?
Sie müssen dafür nicht programmieren können. Gehen Sie diese Schritte durch:
- Hoster herausfinden: Wo liegt Ihre Website? Das steht meist in der Rechnung für Domain und Hosting oder im Vertrag mit der Agentur, die die Website gebaut hat.
- Meldung des Hosters lesen: Fast alle Hoster haben eine Statusseite oder eine Kundeninformation zu dieser Lücke veröffentlicht. Steht dort, dass die Server aktualisiert sind, ist der wichtigste Schritt erledigt.
- PHP-Version im WordPress-Backend ansehen: Unter „Werkzeuge“, „Website-Zustand“, Reiter „Bericht“, Bereich „Server“ zeigt WordPress die PHP-Version an (Anleitung von WordPress).
- Version richtig lesen: Steht dort 8.2, 8.3, 8.4 oder 8.5, fragen Sie den Hoster, ob das aktualisierte Paket eingespielt ist. Einige Hoster, etwa ALL-INKL, haben die Korrektur nach eigenen Angaben auch in ältere PHP-Versionen eingespielt. Die Versionsnummer allein ist also kein Beweis.
- Bei alter Version handeln: Steht dort 8.1 oder niedriger, etwa 7.4, bekommt Ihre PHP-Version vom PHP-Projekt keine regulären Updates mehr. Laut BSI sind auch diese älteren Versionen von den Lücken betroffen. Dann sollten Sie das Thema heute mit Ihrem Hoster oder Ihrer Agentur klären.
Was tun, wenn Sie einen Angriff auf Ihre Website vermuten?
Wenn Ihre Website plötzlich fremde Inhalte zeigt, auf andere Seiten weiterleitet, unbekannte Benutzerkonten oder Plugins enthält oder Ihr Hoster Sie warnt, sollten Sie nicht abwarten.
- Hoster sofort informieren: Er kann die Website vom Netz nehmen und prüfen, ob auf dem Server etwas verändert wurde.
- Zugänge ändern: Passwörter für WordPress, Hosting, Datenbank und alle Konten mit Zugriff auf die Website neu vergeben.
- Datenschutz einbeziehen: Wenn über die Website personenbezogene Daten verarbeitet wurden, zum Beispiel über Anmelde- oder Bewerbungsformulare, gehört Ihre Datenschutzbeauftragte oder Ihr Datenschutzbeauftragter sofort dazu. Eine Datenpanne ist in der Regel innerhalb von 72 Stunden der Aufsichtsbehörde zu melden (Art. 33 DSGVO). Ob eine Meldung nötig ist, lassen Sie im Zweifel rechtlich prüfen.
- Nicht selbst aufräumen: Eine gehackte Website nur neu aufzusetzen, ohne die Ursache zu kennen, führt oft dazu, dass der Angreifer wiederkommt.
Warum betrifft das soziale Träger besonders?
Die Lücke trifft alle Websites gleich. Bei Trägern der Kinder- und Jugendhilfe, der Eingliederungshilfe und bei Kitas kommen aber drei Dinge zusammen, die wir in unserer Arbeit immer wieder sehen.
- Sensible Daten im Formular: Über Träger-Websites laufen Kita-Anmeldungen, Anfragen von Familien, Kontaktaufnahmen zu Hilfen und Bewerbungen. Das sind oft Daten, die besonders schutzwürdig sind.
- Keine klare Zuständigkeit: Viele Websites wurden einmal von einer Agentur, von engagierten Mitarbeitenden oder von Ehrenamtlichen gebaut. Wer heute für Updates zuständig ist, weiß im Haus oft niemand genau.
- Vertrauen als Grundlage: Familien, Kostenträger und Kooperationspartner verlassen sich darauf, dass ein Träger sorgsam mit Daten umgeht. Eine gehackte Website beschädigt dieses Vertrauen schneller als jede schlechte Bewertung.
Welche Fragen sollten Sie Ihrem Hoster oder Ihrer Agentur jetzt stellen?
Diese fünf Fragen können Sie heute per E-Mail stellen. Die Antworten zeigen schnell, ob Ihre Website gut betreut ist.
- Ist auf dem Server unserer Website die aktualisierte PHP-Version vom 21. Oktober 2026 eingespielt, und seit wann?
- Welche PHP-Version nutzt unsere Website, und wann wurde sie zuletzt aktualisiert?
- Wer ist bei uns vertraglich für Sicherheitsupdates zuständig, für PHP, WordPress und Plugins?
- Gibt es Hinweise darauf, dass jemand die Lücke bei unserer Website ausnutzen wollte?
- Gibt es eine aktuelle Sicherung der Website, und wie schnell ließe sie sich wiederherstellen?
Wenn Sie auf die dritte Frage keine klare Antwort bekommen, ist das der wichtigste Befund. Dann ist nicht nur diese Lücke ein Thema, sondern jede kommende.
Niemand fühlt sich für Ihre Website zuständig?
Dann ist jetzt ein guter Zeitpunkt, das zu klären. Wir schauen gemeinsam mit Ihnen, wie Ihre Website heute aufgestellt ist, und sagen Ihnen offen, ob sich die Pflege der bestehenden Website lohnt oder ein Neubau, der weniger Wartung braucht.
Ist WordPress damit unsicher?
Nein. WordPress ist ein verbreitetes und gut gepflegtes System, und diese Lücke liegt nicht in WordPress. Eine WordPress-Website ist so sicher wie ihre Pflege: aktuelle PHP-Version, aktuelle Plugins, regelmäßige Sicherungen und jemand, der sich verantwortlich fühlt.
Genau daran fehlt es häufig. Nach der Nutzungsstatistik von WordPress läuft rund ein Drittel aller WordPress-Websites noch auf PHP 8.1 oder älter, also auf Versionen ohne reguläre Updates. Und auch PHP 8.2 erhält laut PHP-Projekt nur noch bis Ende 2026 Sicherheitsupdates. Wer seine Website seit Jahren nicht angefasst hat, sollte die Lücke als Anlass nehmen, das grundsätzlich zu klären.
Welche Alternativen gibt es zu einer selbst gepflegten Website?
Es gibt nicht die eine richtige Lösung. Für Träger sehen wir vor allem zwei Wege, die beide funktionieren, wenn sie zum Haus passen.
- WordPress mit Wartungsvertrag: Sie behalten Ihre Website, eine Agentur oder Ihr Hoster übernimmt Updates, Sicherungen und Überwachung zu festen Bedingungen. Sinnvoll, wenn die Website gut funktioniert und vor allem die Zuständigkeit fehlt.
- Plattform mit Hosting aus einer Hand: Systeme wie Webflow laufen auf der Infrastruktur des Anbieters. Server- und Systemupdates übernimmt die Plattform, viele Plugins fallen weg. Das reduziert typische Wartungsprobleme, ersetzt aber keine allgemeinen Sicherheitsmaßnahmen wie gute Passwörter und geregelte Zugänge. Dafür sind Sie stärker an den Anbieter gebunden, und der Datenschutz muss vertraglich sauber geregelt sein.
Eine Website, um deren Server Sie sich nicht kümmern müssen
Wir bauen neue Träger-Websites mit Webflow, weil viele Träger keine eigene IT haben und sich um Server-Updates nicht kümmern wollen. Die Plattform übernimmt die technischen Updates, Sie kümmern sich um Ihre Inhalte. Barrierefreiheit planen wir von Anfang an mit.
Wenn ohnehin ein Neubau ansteht, lohnt es sich, die Anforderungen an digitale Barrierefreiheit gleich mitzudenken.
Häufige Fragen
Muss ich unsere WordPress-Website jetzt abschalten?
In der Regel nicht, wenn Ihr Hoster bestätigt, dass der Server aktualisiert ist. Wenn Sie keine Bestätigung bekommen und auf der Website sensible Daten verarbeitet werden, kann es sinnvoll sein, Formulare vorübergehend zu deaktivieren, bis die Frage geklärt ist.
Reicht es, WordPress und die Plugins zu aktualisieren?
Nein. Die Lücken liegen in PHP, also in der Software auf dem Server, auf der WordPress läuft. WordPress- und Plugin-Updates bleiben wichtig, schließen diese Lücke aber nicht. Das muss auf Serverebene passieren, meist durch den Hoster.
Hilft ein Sicherheits-Plugin gegen die PHP-Lücke?
Nicht verlässlich. Ein Sicherheits-Plugin läuft selbst auf PHP und kann eine Lücke in PHP nicht sicher abfangen. Das PHP-Projekt nennt einige Einstellungen, die das Risiko senken, betont aber, dass nur ein Update die Installation wirklich sicher macht.
Woran erkenne ich, ob unsere Website gehackt wurde?
Typische Hinweise sind fremde Inhalte oder Links, Weiterleitungen auf andere Seiten, neue Benutzerkonten, unbekannte Plugins oder Warnungen von Google oder Ihrem Hoster. Oft fällt ein Angriff aber gar nicht auf. Fragen Sie deshalb Ihren Hoster, ob er auffällige Zugriffe gesehen hat.
Unsere Website hat jemand aus dem Ehrenamt gebaut. Was nun?
Fragen Sie als Erstes nach, wo die Website liegt und wer Zugang zum Hosting hat. Sorgen Sie dann dafür, dass diese Zugänge auch beim Träger liegen, etwa bei der Geschäftsführung. Danach können Sie entscheiden, ob die Pflege ehrenamtlich weiterläuft oder ob Sie sie vertraglich an einen Dienstleister geben.
Müssen wir wegen der Lücke auf ein anderes System wechseln?
Nein, nicht wegen dieser Lücke allein. Ein Wechsel lohnt sich, wenn Ihre Website ohnehin veraltet ist, niemand sie zuverlässig pflegt oder ein Neubau ansteht, etwa wegen Barrierefreiheit oder eines neuen Auftritts.
Unsicher, wie es um Ihre Website steht?
Wir schauen uns mit Ihnen an, wie Ihre Website heute aufgestellt ist und was sich lohnt: Pflege der bestehenden Website oder ein Neubau, der weniger Wartung braucht. Wir sind ein Team aus der Sozialen Arbeit und kennen die Abläufe bei Trägern.
Sprechen Sie uns gern an, auch wenn Sie nur eine zweite Meinung möchten.