Wer den Fix installiert
Bei Shared Hosting, Managed WordPress und den meisten Reseller-Tarifen installieren Sie PHP nie selbst. Der Hoster baut es, hält mehrere Versionen parallel vor, und Ihr Control Panel legt fest, welche davon Ihre Site ausführt. Der Fix für CVE-2026-109618 und CVE-2026-109619 kommt deshalb in zwei Schritten bei Ihnen an:
- Der Hoster installiert die gepatchten Builds (8.5.12, 8.4.27, 8.3.36, 8.2.35 oder einen eigenen Backport für ältere Zweige).
- Ihre Site läuft auf einem dieser gepatchten Builds.
Schritt 1 ist Sache des Hosters. Schritt 2 liegt oft bei Ihnen: Ist Ihre Site auf PHP 7.4 oder 8.0 festgelegt und hat der Hoster für diesen Zweig keinen korrigierten Build, wird nichts gepatcht, bis Sie wechseln.
Prüfen, was Ihre Site ausführt
Ihr Control Panel zeigt die Version pro Domain an, WordPress unter Werkzeuge › Website-Zustand › Bericht › Server. Fügen Sie die vollständige Nummer in den Versions-Check ein. Entscheidend ist die Zahl nach dem zweiten Punkt: 8.3.36 ist korrigiert, 8.3.30 nicht.
Hoster, die PHP selbst bauen, behalten manchmal die Upstream-Nummer und hängen ein Suffix an. Eine alt aussehende Nummer kann den Fix also trotzdem enthalten. Im Zweifel fragen Sie nach (siehe unten).
Was die großen Panels ausgeliefert haben
Die meisten Shared-Hoster setzen auf eines von wenigen Control Panels, und meist baut der Panel-Hersteller das PHP, das der Hoster installiert.
| Panel | Was der Hersteller sagt |
|---|---|
| cPanel (EasyApache 4) | Korrigierte Builds für 8.2 bis 8.5, Backports für 7.4, 8.0 und 8.1. Details |
| CloudLinux alt-php (cPanel "Select PHP Version") | Builds in Vorbereitung. Details |
| Plesk | Fixes für 8.2 bis 8.4 unter Linux; weitere werden ergänzt, sobald sie erscheinen. Details |
| DirectAdmin | Neue Builds in den Kanälen current und stable. Details |
Ein korrigierter Build beim Panel-Hersteller ist nicht automatisch schon auf Ihrem Server. Hoster spielen Panel-Updates nach eigenem Zeitplan ein.
Was Hoster gesagt haben
Jeden Hoster, den wir geprüft haben, führen wir mit Zitaten und Datum auf der Hoster-Seite. Viele haben noch nichts veröffentlicht. Schweigen sagt nichts darüber aus, ob ein Fix installiert ist, also fragen Sie nach.
Wenn Sie PHP 7.4, 8.0 oder 8.1 nutzen
Das PHP-Projekt hat diese Zweige mit Backports als Quellcode korrigiert und dafür keine Releases veröffentlicht. Manche Panels haben sie gebaut (cPanel zum Beispiel); viele Hoster werden sie nicht anbieten. Dauerhaft hilft nur der Wechsel auf einen unterstützten Zweig. Wir empfehlen PHP 8.4: unterstützt bis Ende 2028 und bei Hostern weit verbreitet.
Legen Sie vor dem Wechsel ein Backup an und wechseln Sie zuerst auf einer Staging-Kopie, falls Ihr Hoster eine anbietet. Alte Plugins und Themes sind der übliche Grund, warum eine Site nach einem Versionssprung nicht mehr läuft.
Fragen Sie Ihren Hoster
Auf präzise Fragen antwortet der Support schneller. Kopieren Sie diesen Text in ein Ticket und füllen Sie die Klammern aus:
Hello,
Regarding the PHP security fixes released on 21 October 2026
(CVE-2026-109618 and CVE-2026-109619, "PHP2Shell"):
1. My site [domain] currently runs PHP [version]. Does that build include
the fixes for both CVEs?
2. If not, when will a fixed build be installed, and which PHP versions on
my plan are already fixed?
3. Have the PHP workers serving my site been restarted since the update?
Thank you.
Lassen Sie Frage 3 nicht weg. Ein gepatchtes Paket ändert nichts, bis die PHP-Prozesse, die Ihre Site ausliefern, neu gestartet sind. Siehe Nach dem Patchen.
Was Sie heute tun können
Kein Fix
Laut Anbieter blockieren die Firewall-Regeln von Cloudflare und einigen Hostern bekannte Angriffsmuster. PHP selbst bleibt hinter jeder solchen Regel verwundbar. Betrachten Sie sie als Überbrückung, bis der gepatchte Build läuft.
- Wechseln Sie auf eine korrigierte Version, wenn Ihr Panel eine anbietet.
- Aktualisieren Sie WordPress-Core, Plugins und Themes, und entfernen Sie, was Sie nicht mehr nutzen.
- Ändern Sie Admin-Passwörter und Anwendungspasswörter, wenn Ihnen in Logs oder Dateien etwas merkwürdig vorkommt.
- Wenn Sie vermuten, dass die Site bereits angegriffen wurde, folgen Sie der Anleitung zur Einschätzung.
Zuletzt geprüft am 22. Oktober 2026.