Die PHP-Sicherheitslücken vom 21. Oktober 2026 haben bei vielen Website-Betreibern Fragen ausgelöst: Welche Version läuft bei uns, und müssen wir handeln? Deshalb haben wir unser Plugin Elbnetz WP Dock kurzfristig um eine intelligente PHP-Versionsanzeige erweitert. Wir installieren das Plugin bei allen unseren Wartungs- und Hosting-Kunden. Eine Ampel im WordPress-Dashboard bewertet den Supportstatus und weist auf fehlende Sicherheitsupdates hin. Informationen zu verfügbaren Sicherheitspatches werden dafür täglich abgefragt.

Warum der PHP-Status schnell erkennbar sein sollte

Am 21. Oktober 2026 veröffentlichte das PHP-Projekt Sicherheitsupdates für alle unterstützten PHP-Reihen. Auch bei uns gingen zahlreiche Kundenfragen ein. Dabei wurde deutlich: Eine allgemeine Sicherheitsmeldung hilft nur begrenzt, wenn der Stand der eigenen Website unklar ist. Was damals konkret zu tun war, haben wir im Beitrag PHP-Sicherheitslücken: Was Hosting-Kunden jetzt tun sollten beschrieben.

Gleichzeitig verändert KI die Sicherheitsforschung. Wiz Research beschreibt, wie KI bei der Untersuchung der PHP-Schwachstellen und der Entwicklung funktionierender Angriffsnachweise geholfen hat. Auch Google berichtete bereits im Juli 2025 über reale Schwachstellen, die sein KI-Agent Big Sleep gefunden hatte. Für uns ist das ein weiterer Grund, auf kurzfristigen Handlungsbedarf vorbereitet zu sein und den PHP-Status für unsere Kunden verständlich sichtbar zu machen.

Was die neue PHP-Ampel im Elbnetz WP Dock zeigt

Elbnetz WP Dock bündelt Funktionen für Sicherheit und Datenschutz auf den Websites unserer Wartungs- und Hosting-Kunden. Nach den PHP-Sicherheitsmeldungen haben wir das Plugin kurzfristig erweitert: Die neue Anzeige verbindet die eingesetzte PHP-Version mit einer verständlichen Bewertung ihres Support- und Aktualisierungsstatus.

Informationen zu verfügbaren PHP-Sicherheitspatches werden täglich abgefragt. Die Ampel berücksichtigt damit auch, ob für die eingesetzte Version ein Sicherheitsupdate fehlt. Gerade in Situationen wie am 21. Oktober hilft das, den Handlungsbedarf für die eigene Website einzuordnen.

Sie finden die Anzeige im WordPress-Dashboard im Bereich „Elbnetz WP Dock“, sichtbar für Benutzer mit Administratorrechten. Zusätzlich erscheint sie unter Werkzeuge → Website-Zustand, wo WordPress weitere Hinweise zur technischen Umgebung sammelt.

Das WP Dock zeigt außerdem Informationen zur Datenbank und zum Speicher-Limit. PHP ist die Programmiersprache, auf der WordPress basiert. Die Datenbank speichert unter anderem Ihre Inhalte und Einstellungen. Das Speicher-Limit begrenzt, wie viel Arbeitsspeicher eine einzelne PHP-Anfrage nutzen darf. Farben und kurze Hinweise helfen, diese technischen Angaben einzuordnen.

Grün, Gelb, Rot: Wie die Farben entstehen

Die PHP-Ampel unterscheidet zwischen regulären Updates, fehlenden Sicherheitskorrekturen und dem Ende der offiziellen Unterstützung. Dafür gelten die folgenden Regeln. Die Versionsbeispiele beziehen sich auf den Stand nach den Sicherheitsupdates vom 21. Oktober 2026.

• Grün: Ihre Website nutzt die neueste Version ihrer PHP-Reihe, und diese Reihe erhält noch länger als zwölf Monate Sicherheitsupdates. Beispiel: PHP 8.4.27.
• Gelb: Ein reguläres Update ist verfügbar, es fehlt aber kein Sicherheitsupdate.
• Gelb: Die offizielle Sicherheitsunterstützung Ihrer PHP-Reihe endet innerhalb der nächsten zwölf Monate. Beispiel: PHP 8.2.35, dessen Reihe bis zum 31. Dezember 2026 unterstützt wird.
• Rot: Für die eingesetzte Version fehlt mindestens ein Sicherheitsupdate. Beispiel: PHP 8.4.26, wenn das Sicherheitsupdate auf PHP 8.4.27 noch nicht installiert ist.
• Rot: Die eingesetzte PHP-Reihe erhält keine regulären Sicherheitsupdates mehr vom PHP-Projekt.

Gelb bedeutet: eine Aktualisierung oder einen Versionswechsel einplanen. Rot bedeutet: den Hinweis umgehend prüfen und die erforderlichen Schritte veranlassen. Die Zwölfmonatsgrenze ist eine Regel unseres Plugins, damit ein bevorstehendes Supportende frühzeitig sichtbar wird.

Am 21. Oktober erschienen PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35 als Sicherheitsupdates (Sicherheitsmeldung des PHP-Projekts). Eine Installation mit PHP 8.4.26 fällt nach dieser Logik in die rote Kategorie, sobald das verfügbare Sicherheitsupdate von der Anzeige erfasst wurde.

Was Sie bei Gelb oder Rot tun

Wenn Ihre Website bei Elbnetz gehostet wird, kümmern wir uns um die erforderlichen Serverupdates. Die Ampel gibt Ihnen zusätzlichen Einblick in den technischen Stand. Ihr Ansprechpartner bei Fragen zur Anzeige sind wir.

Wenn wir Ihre Website warten, sie aber bei einem anderen Anbieter gehostet wird, ist dieser Hosting-Dienstleister für PHP-Updates zuständig. Übermitteln Sie ihm die angezeigte Version und den Hinweis aus dem WP Dock. Damit lässt sich gezielt klären, welches Update erforderlich ist und wann es eingespielt wird.

Ein Wechsel auf eine neue PHP-Reihe, etwa von 8.2 auf 8.4, wird gesondert geplant. Dabei prüfen wir die Verträglichkeit mit WordPress, Plugins und Theme zunächst auf einer Kopie der Website. Nach der Abstimmung und Ihrer Freigabe folgt die Umstellung.

Die offizielle Sicherheitsunterstützung für PHP 8.2 endet am 31. Dezember 2026, für PHP 8.3 am 31. Dezember 2027 (Übersicht der unterstützten PHP-Versionen). Wer noch PHP 8.2 nutzt, sollte den Wechsel rechtzeitig abstimmen. Warum eine gepflegte PHP-Version zur Grundlage der Website-Sicherheit gehört, erklären wir im Beitrag WordPress PHP Update: Wichtiger als jedes Security-Plugin.

Was die Anzeige nicht leistet

Die PHP-Ampel bewertet den ermittelten Versions- und Supportstatus. Sie ist kein vollständiger Sicherheitscheck Ihrer Website. WordPress, Plugins, Themes, Benutzerkonten und Backups müssen unabhängig davon gepflegt werden.

Die Bewertung beruht auf der letzten erfolgreichen Abfrage der Versions- und Sicherheitsinformationen. Zwischen der Veröffentlichung eines neuen Patches und der nächsten täglichen Abfrage kann deshalb Zeit vergehen. Die Anzeige installiert selbst keine PHP-Updates.

Außerdem stellen manche Hosting-Anbieter oder Linux-Distributionen Sicherheitskorrekturen für ältere Versionen bereit, ohne auf die entsprechende neue PHP-Originalversion zu wechseln. Solche zurückübertragenen Korrekturen heißen „Backports“. Die Versionsnummer allein bildet den tatsächlichen Patchstand deshalb nicht immer vollständig ab. In solchen Fällen sollte der Hoster den installierten Sicherheitsstand bestätigen; auch das PHP-Projekt verweist auf Sicherheitskorrekturen durch Distributoren und Anbieter.

Auch bislang unbekannte Schwachstellen lassen sich durch eine Versionsanzeige nicht ausschließen. Amazon Threat Intelligence berichtet von einem Angriffsversuch auf die PHP-Lücken bereits am 17. Oktober 2026, also vor der öffentlichen Bekanntgabe. Die Ampel hilft, erkannten Aktualisierungsbedarf sichtbar zu machen. Sie ist damit ein Baustein einer regelmäßigen WordPress-Wartung.

Was Sie selbst in der Hand haben

Klären Sie, wer für die Serversoftware Ihrer Website zuständig ist, und stimmen Sie anstehende Versionswechsel frühzeitig ab. Ein Blick ins WP Dock zeigt Ihnen, wie Ihre PHP-Version eingeordnet wird. Beachten Sie dabei neben der Farbe auch den zugehörigen Hinweis.

Bei Gelb lässt sich eine Aktualisierung oder ein Versionswechsel planen. Bei Rot sollte der zuständige Ansprechpartner den Sicherheitsstand umgehend prüfen. Bei Fragen zur Anzeige helfen wir Ihnen gern weiter.

Genau dafür entwickeln wir Elbnetz WP Dock weiter: Unsere Wartungs- und Hosting-Kunden erhalten verständliche Informationen zur technischen Grundlage ihrer Website – direkt dort, wo sie ihre Inhalte pflegen.