WordPress Sicherheit ist plötzlich in aller Munde. Eine Sicherheitslücke in PHP hat Millionen Webseiten angreifbar gemacht, darunter fast jede WordPress-Installation. Die Fachpresse überschlägt sich, Agenturen schicken Rundmails, Hoster schalten Seiten ab.
Was davon ist berechtigt, was Hysterie? In diesem Artikel erfährst du, was wirklich passiert ist, welche Gefahr tatsächlich besteht und was du als Unternehmen konkret tun solltest – ohne Panik, aber auch ohne Schönfärberei.
In diesem Artikel erfährst du:
WordPress Sicherheit stand bisher selten ganz oben auf der Prioritätenliste deutscher Mittelständler. Das hat sich in den letzten Tagen schlagartig geändert.
Zwei kritische Sicherheitslücken in PHP – der Programmiersprache, auf der WordPress läuft – wurden öffentlich. Die Kennung: CVE-2026-10981 und CVE-2026-10961, zusammengefasst unter dem Namen „PHP2Shell“. Die Bewertung: 9,2 von 10 auf der Schwachstellen-Skala.
Kategorie „kritisch“. Das ist die höchste Warnstufe. Zum Vergleich: Die berüchtigte Log4Shell-Lücke von 2021, die monatelang für Schlagzeilen sorgte, lag in derselben Kategorie.
PHP läuft auf einem Großteil aller Webseiten weltweit, deren Servertechnik bekannt ist. WordPress nutzt PHP als Grundlage. Jede WordPress-Seite, die auf einer verwundbaren PHP-Version läuft, ist potenziell angreifbar.
Das betrifft nicht nur Blogs und Vereinsseiten, sondern auch Unternehmensauftritte, Online-Shops, Kundenportale und Buchungssysteme.
Die Lücke selbst ist nicht neu. Sie existiert seit über zehn Jahren, war aber bisher unentdeckt. Erst jetzt, durch eine Kombination aus menschlicher Analyse und künstlicher Intelligenz (beteiligt war unter anderem OpenAI), wurde sie gefunden.
Das Problem: Sobald die Reparatur veröffentlicht wird, können Angreifer genau nachvollziehen, wie die Lücke funktioniert – und gezielt nach Seiten suchen, die das Update noch nicht eingespielt haben. Genau das passiert gerade.
Universitäten, Krankenhäuser, Regierungsstellen und Unternehmen haben ihre Webseiten vorsorglich abgeschaltet. Nicht aus Panik, sondern weil sie die Lücke nicht sofort schließen konnten und das Risiko nicht eingehen wollten.
Die Fachpresse spricht von „Millionen angreifbaren Webseiten“, „Datendiebstahl in großem Stil“ und „der größten Sicherheitslücke seit Jahren“. Das klingt dramatisch. Und ja, die Gefahr ist real.
Aber nicht jede WordPress-Seite ist gleichermaßen betroffen, und nicht jeder Angriff führt automatisch zum Totalschaden.
Was technisch möglich ist: Angreifer können über die Lücke Schadcode auf dem Server ausführen. Das bedeutet, sie könnten theoretisch Kundendaten stehlen, Schadsoftware installieren, die Seite lahmlegen oder Besucher auf gefälschte Seiten umleiten. Außerdem lässt sich der Arbeitsspeicher von PHP auslesen – dort können Passwörter, Zugangsdaten und sogenannte Tokens liegen.
Was in der Praxis passiert, hängt von mehreren Faktoren ab: Welche PHP-Version läuft? Wie ist der Server konfiguriert?
Welche Sicherheitsmaßnahmen sind bereits aktiv? Gibt es eine Firewall, regelmäßige Backups, Zwei-Faktor-Authentifizierung? Liegt die Seite auf einem Shared-Hosting-Server mit vielen anderen Seiten oder auf einem dedizierten Server?
Die meisten Hoster haben schnell reagiert und Updates eingespielt oder zumindest bestimmte Funktionen (z. B. Datei-Uploads) vorübergehend gesperrt. Das schützt viele Seiten bereits.
Aber eben nicht alle. Vor allem selbst gehostete Seiten, alte Installationen und Systeme, die nicht aktiv betreut werden, sind gefährdet.
Ein weiterer Punkt, der in der Aufregung oft untergeht: Dein eigener Computer, dein Handy, dein Tablet sind nicht direkt betroffen. Die Lücke liegt auf den Servern, auf denen Webseiten laufen.
Du musst an deinen Geräten nichts aktualisieren. Aber: Wenn du eine gehackte Seite besuchst, kann diese dich auf gefälschte Seiten umleiten oder versuchen, dir Schadsoftware unterzujubeln. Deshalb gilt: Augen auf, besonders bei Login-Seiten und Zahlungsvorgängen.
Wir sehen das Thema WordPress Sicherheit pragmatisch. Ja, die Lücke ist ernst. Nein, sie ist kein Grund, jetzt hektisch alles umzukrempeln oder aus Angst die Webseite abzuschalten, ohne zu prüfen, ob das überhaupt nötig ist.
Viele Agenturen nutzen solche Vorfälle, um teure „Notfall-Audits“ oder „Sicherheitspakete“ zu verkaufen. Manche davon sind sinnvoll, viele sind Alibi.
Ein Sicherheits-Plugin allein schützt nicht vor einer serverseitigen PHP-Lücke. Ein neues Theme auch nicht. Und ein „Sicherheits-Check“, der nur oberflächlich WordPress-Updates prüft, greift zu kurz.
Was wirklich zählt: die PHP-Version auf dem Server. Läuft deine Seite auf PHP 8.2.35, 8.3.36, 8.4.27 oder 8.5.12 (oder neuer), ist die Lücke geschlossen.
Läuft sie auf einer älteren Version – etwa PHP 7.4, 8.0 oder 8.1 – besteht Handlungsbedarf. Diese Versionen bekommen nämlich keine Updates mehr. Du musst auf eine neuere PHP-Version umsteigen, und das ist nicht immer trivial.
Ältere Themes, Plugins oder Custom-Code können mit neuen PHP-Versionen inkompatibel sein. Das bedeutet: testen, anpassen, neu testen.
Genau hier liegt das eigentliche Problem. Viele Unternehmen wissen gar nicht, welche PHP-Version ihre Seite nutzt. Sie haben die Webseite vor Jahren erstellen lassen, zahlen monatlich Hosting-Gebühren und kümmern sich ansonsten nicht darum.
Bis etwas passiert.
Unser Rat: Ruhe bewahren, aber nicht ignorieren. Prüfen lassen, ob deine Seite betroffen ist. Wenn ja, Update einspielen oder – falls das nicht sofort geht – die Seite vorübergehend offline nehmen.
Das ist unangenehm, aber besser als ein gehackter Shop oder gestohlene Kundendaten. Wir richten bei vyn für Kunden genau solche Prüfungen ein: PHP-Version checken, Update-Fähigkeit testen, im Zweifel migrieren. Ohne Drama, aber konsequent.
Damit du nicht im Chaos versinkst: eine kompakte Checkliste, was jetzt wirklich zählt.
PHP-Version prüfen
Update einspielen oder Seite offline nehmen
Backups checken
Passwörter ändern
Monitoring einrichten
Zuständigkeit klären
Die meisten großen Unternehmen haben IT-Abteilungen oder Agenturen, die sich sofort gekümmert haben. Die Gefahr liegt woanders: bei kleinen und mittelständischen Unternehmen, Handwerksbetrieben, Vereinen, Selbstständigen.
Also genau dort, wo WordPress am häufigsten eingesetzt wird – weil es einfach, günstig und flexibel ist.
Wenn deine Webseite dein wichtigster Vertriebskanal ist, wenn Kunden darüber Termine buchen, Anfragen stellen oder Produkte kaufen, dann ist Website Sicherheit kein Luxusthema. Dann ist sie geschäftskritisch.
Eine gehackte Seite kostet nicht nur Nerven, sondern Umsatz, Vertrauen und im schlimmsten Fall rechtliche Konsequenzen (Stichwort DSGVO: Wenn Kundendaten abfließen, bist du meldepflichtig).
Das Fatale: Viele Unternehmen merken einen Hack erst spät. Die Seite läuft scheinbar normal weiter, aber im Hintergrund werden Daten abgegriffen, Spam-Mails verschickt oder die Seite für Phishing-Angriffe missbraucht.
Bis Google die Seite als „unsicher“ markiert oder der Hoster sie sperrt.
Was du jetzt konkret tun solltest: Kläre, wer für deine Webseite zuständig ist. Dein Hoster? Deine Agentur?
Ein Freelancer? Du selbst? Dann stelle genau eine Frage: „Läuft unsere Seite auf einer aktuellen, gepatchten PHP-Version?“ Wenn die Antwort „Weiß ich nicht“ oder „Kümmere ich mich drum“ lautet, hake nach.
Wenn die Antwort „Ja, 8.2.35 oder neuer“ lautet, bist du erst mal auf der sicheren Seite.
Falls deine Seite auf einer alten PHP-Version läuft und ein Update nicht sofort möglich ist: Nimm sie vorübergehend offline oder schalte zumindest alle Formulare, Login-Bereiche und Zahlungsfunktionen ab. Das ist unangenehm, aber kalkulierbar.
Ein Hack ist es nicht.
Kurzfristig: PHP-Version prüfen lassen. Update einspielen oder Seite offline nehmen, bis das möglich ist. Backups checken (und wenn du keine hast: sofort anlegen).
Passwörter ändern, besonders für WordPress-Admin, FTP und Datenbank. Und zwar unterschiedliche Passwörter für jeden Dienst. Ein Passwort-Manager wie 1Password oder Bitwarden hilft dabei.
Mittelfristig: Überleg dir, wer sich künftig um deine Webseite kümmert. Nicht nur um Inhalte, sondern um Updates, Sicherheit, Performance. WordPress ist kein „einmal aufsetzen und vergessen“-System.
Es braucht Pflege. Entweder intern oder durch eine Agentur, die das als Service anbietet. Genau das machen wir bei vyn: WordPress-Seiten nicht nur bauen, sondern langfristig betreuen – mit regelmäßigen Updates, Sicherheitschecks und Monitoring.
Langfristig: Denk über eine vernünftige Hosting-Strategie nach. Shared Hosting für wenige Euro im Monat ist verlockend günstig, aber oft auch ein Sicherheitsrisiko.
Wenn viele Seiten auf demselben Server liegen und eine davon gehackt wird, können die anderen in Mitleidenschaft gezogen werden. Managed WordPress Hosting kostet mehr, nimmt dir aber viele Sorgen ab: automatische Updates, tägliche Backups, Firewalls, SSL-Zertifikate inklusive.
Was du dir sparen kannst: Panik-Käufe. Kein „Premium-Sicherheits-Plugin“ der Welt schützt dich vor einer serverseitigen PHP-Lücke. Plugins wie Wordfence oder Sucuri sind sinnvoll – aber nur als Teil einer Gesamtstrategie, nicht als Allheilmittel.
Und: Keine voreiligen Theme- oder Plugin-Wechsel. Die Lücke liegt in PHP, nicht in deinem Theme.
Noch ein Wort zu Passwörtern, weil das Thema gerade hochkocht: Wenn eine Seite gehackt wird und Zugangsdaten abfließen, probieren Angreifer diese Daten bei anderen Diensten aus.
Wenn du dasselbe Passwort für deine WordPress-Seite, deinen E-Mail-Account und deinen Online-Shop nutzt, hast du ein Problem. Deshalb: Ein Passwort pro Dienst, komplex, gespeichert im Passwort-Manager.
Ja, das ist aufwendig. Aber einmal richtig gemacht, sparst du dir später viel Ärger.
Du willst das nicht alles allein umsetzen? Schau dir an, wie wir dich unterstützen: Website erstellen lassen.
Die PHP-Lücke 2026 ist ein Weckruf. Nicht, weil sie einzigartig wäre, sondern weil sie zeigt, wie schnell aus einer unsichtbaren Schwachstelle ein handfestes Problem wird.
WordPress Sicherheit ist kein einmaliges Projekt, sondern ein dauerhafter Prozess. Updates, Backups, Monitoring, klare Zuständigkeiten – das sind die Grundlagen.
Wenn du jetzt noch nicht weißt, auf welcher PHP-Version deine Seite läuft, ist der erste Schritt klar: herausfinden. Wenn du keine Antwort bekommst oder dir niemand helfen kann, sprich mit uns. Wir prüfen das, spielen Updates ein oder migrieren deine Seite auf eine sichere Umgebung.
Ohne Panik, aber konsequent.
Sie sehen gerade einen Platzhalterinhalt von Wistia. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr InformationenWir prüfen deine PHP-Version, spielen Updates ein und richten ein Monitoring ein, damit du künftig nicht mehr im Dunkeln tappst. Kein Panik-Service, sondern solide Arbeit.
Sprich mit uns, wenn du wissen willst, wo deine Seite steht – und was jetzt konkret zu tun ist.
Sie sehen gerade einen Platzhalterinhalt von Facebook. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr InformationenSie sehen gerade einen Platzhalterinhalt von Wistia. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr Informationen