Danke WordPress, aber jetzt reicht es wirklich

Dienstagmorgen, kurz nach acht. Du sitzt mit dem Kaffee am Schreibtisch, öffnest LinkedIn und siehst, wie ein Agenturchef nach dem anderen von einer kritischen PHP-Sicherheitslücke schreibt. Du hast eine Website, die läuft seit Jahren, und du fragst dich kurz, ob dich das betrifft. Dann klingelt das Telefon, und die Frage ist wieder weg. Genau so geht es gerade Tausenden von Firmen in der Schweiz. Und genau deshalb schreibe ich diesen Beitrag. Denn die PHP-Sicherheitslücke der letzten Woche zeigt zwei Dinge auf einmal. Erstens, wie gross PHP wirklich ist. Zweitens, wie viele Websites von Leuten betreut werden, die nicht einmal wissen, was PHP ist.

Was letzte Woche passiert ist

Am 20. Oktober 2026 hat das PHP-Projekt zwei kritische Schwachstellen bekannt gegeben, die unter dem Namen PHP2Shell die Runde machen. Beide erlauben es einem Angreifer, ohne Login und ohne Passwort eigenen Code auf einem Webserver auszuführen. Das ist die höchste Kategorie, die es bei Sicherheitslücken gibt. Mit einer Bewertung von 9.2 von 10 Punkten gehört sie zu den gefährlichsten Lücken, die PHP je hatte.

Einen Tag später, am 21. Oktober, kamen die Patches. Wer PHP 8.2, 8.3, 8.4 oder 8.5 nutzt, kann auf eine sichere Version aktualisieren. Wer noch auf PHP 8.1 oder älter unterwegs ist, bekommt offiziell gar nichts mehr, weil diese Versionen vom PHP-Projekt nicht mehr gepflegt werden. Und das ist der Punkt, der mich wirklich beschäftigt. Sicherheitsforscher haben gemessen, dass rund sieben von zehn PHP-Installationen auf Versionen laufen, die schon lange kein Update mehr bekommen. Sieben von zehn. Dazu kommt, dass Angreifer die Lücke bereits ausprobiert haben, bevor der Patch überhaupt draussen war. Ein öffentlicher Angriffscode ist ebenfalls im Umlauf.

Was heisst das für dich? Ganz einfach. Wenn deine Website auf PHP läuft, muss jemand prüfen, welche PHP-Version dein Hoster verwendet, und ob der Patch eingespielt wurde. Ein Update von WordPress, Shopware oder einem anderen System hilft dabei nicht, weil die Lücke nicht im System liegt, sondern in der Sprache darunter.

Warum ich WordPress ehrlich dankbar bin

Jetzt kommt der Teil, den ich selbst nicht erwartet hätte. Ich bin WordPress dankbar. Wirklich. Denn WordPress hat PHP zu dem gemacht, was es heute ist. Rund drei Viertel aller Websites, bei denen die Server-Sprache bekannt ist, laufen auf PHP. Und etwa 43 Prozent aller Websites weltweit laufen auf WordPress. Ohne WordPress wäre PHP vermutlich eine Nischensprache geworden, die nur ein paar Entwickler kennen. Stattdessen ist PHP die Sprache, in der Facebook angefangen hat, in der Wikipedia läuft, in der Nextcloud, Laravel, Shopware und Contao gebaut sind. Jede dieser Lücken ist eine Nachricht wert, weil so viel darauf läuft. Das ist auch die Welt, in der wir bei WOSA seit über zwanzig Jahren arbeiten. Wir bauen alles in PHP, und wir würden es jederzeit wieder tun.

Also, danke WordPress. Du hast den Beweis geliefert, dass PHP überall ist. Und jetzt kommt das grosse Aber.

WordPress und ich haben eine Rechnung offen

Ich sage es, wie es ist. WordPress und ich haben eine Rechnung offen, und sie wird jeden Monat länger. Nicht, weil WordPress schlecht programmiert wäre. Der Kern ist solide, die Entwickler sind fähig. Mein Problem ist, was WordPress aus unserer Branche gemacht hat.

WordPress ist das Tor, durch das jeder in die Webentwicklung spaziert, ohne je einen Schlüssel gehabt zu haben. Hosting klicken, WordPress mit einem Klick installieren, ein Theme für 59 Dollar kaufen, zwanzig Plugins aktivieren, fertig ist die Agentur. Seit die KI dazugekommen ist, geht das noch schneller. Der Designer, der gestern noch Logos gemacht hat, lässt sich heute von ChatGPT die Texte schreiben, von einem Page Builder die Seiten zusammenklicken, und morgen steht auf seiner Visitenkarte Webentwickler.

Das ist, als würde jemand bei IKEA ein Regal zusammenschrauben und danach eine Schreinerei eröffnen. Das Regal steht, es sieht gut aus, und solange niemand etwas Schweres darauf stellt, merkt keiner den Unterschied. Bis der erste Kunde einen Schrank will, der tatsächlich trägt.

Und jetzt die Frage, die mich seit letzter Woche nicht loslässt. Wie viele dieser Klick-Agenturen haben von der PHP-Lücke überhaupt etwas mitbekommen? Ich behaupte, die wenigsten. Wer nur Teile zusammensteckt, muss nicht wissen, woraus die Teile bestehen. Wer nie eine Zeile PHP geschrieben hat, abonniert keine PHP-Sicherheitsmeldungen. Wer nicht weiss, welche PHP-Version beim Hoster läuft, kann sie auch nicht prüfen. Und der Kunde, der die Website gekauft hat, verlässt sich darauf, dass sich jemand kümmert. Es kümmert sich aber niemand, weil niemand weiss, dass es etwas zu kümmern gibt.

Das Plugin-Desaster, oder warum du zwanzig Haustiere kaufst

Hier liegt der eigentliche Kern. Wenn dir jemand eine WordPress-Website verkauft, bekommst du kein Content-Management-System. Du bekommst ein System plus fünfzehn, zwanzig, manchmal dreissig Plugins. Kontaktformular, SEO, Cookie-Banner, Sicherheit, Backup, Caching, Bildoptimierung, Mehrsprachigkeit, Page Builder, Slider, Galerie. Jedes dieser Plugins ist ein eigenes Programm, von einem eigenen Entwickler, mit eigenem Update-Rhythmus, eigenen Fehlern und eigenen Sicherheitslücken.

Du kaufst also nicht eine Website. Du adoptierst zwanzig Haustiere, und jedes will regelmässig gefüttert werden. Eines davon beisst irgendwann. Die Zahlen dazu sind eindeutig. Im Jahr 2025 wurden über 11'000 neue Sicherheitslücken im WordPress-Umfeld gemeldet, 42 Prozent mehr als im Vorjahr. 91 Prozent davon steckten in Plugins. Im WordPress-Kern selbst waren es ganze sechs. Fast die Hälfte der gemeldeten Lücken hatte zum Zeitpunkt der Veröffentlichung noch keinen Fix vom Entwickler. Und bei den gefährlichen Lücken dauerte es im Schnitt fünf Stunden, bis die ersten Angriffe liefen.

Überleg dir das kurz. Ein Kontaktformular. Das ist ein Eingabefeld für Name, E-Mail und Nachricht. Das kann man seit dreissig Jahren in wenigen Zeilen PHP selbst bauen. In WordPress brauchst du dafür ein Plugin, und dieses Plugin wird von Millionen Websites genutzt, was es zum perfekten Ziel macht. Wird darin eine Lücke gefunden, sind Millionen Websites auf einen Schlag angreifbar.

Wartung als Geschäftsmodell

Und jetzt wird es wirklich interessant. Ich bin überzeugt, dass genau dieses Plugin-Chaos der Grund ist, warum WordPress bei Agenturen so beliebt ist. Nicht trotz der Wartung, sondern wegen der Wartung. Eine WordPress-Website ist am Tag der Übergabe wunderschön. Drei Monate später ist sie ein Wartungsvertrag. Plugins aktualisieren, prüfen, ob nach dem Update noch alles läuft, Backups kontrollieren, Sicherheitsplugin auswerten, Theme-Update einspielen, Konflikte zwischen Plugins lösen. Das alles gibt es für 89, 149 oder 249 Franken im Monat, je nach Paket.

Mittlerweile gibt es sogar eine eigene Kategorie, die WordPress-Agentur. Als wäre das eine Fachrichtung wie Zahnarzt oder Kieferorthopäde. Es ist aber keine Fachrichtung, es ist eine Abhängigkeit. Eine Website, die so viel Pflege braucht, ist nicht gut gebaut. Sie ist gut verkauft. Warum das System selbst dieses Problem erzeugt, habe ich schon vor einiger Zeit im Beitrag Das WordPress-Dilemma beschrieben, und seither ist es nicht besser geworden.

Versteh mich richtig. Wartung gehört dazu. Jede Website braucht hin und wieder ein Update, ein Backup, einen Blick in die Logs. Aber nicht jede Woche, nicht mit zwanzig fremden Programmen, und nicht mit dem Risiko, dass nach jedem Klick auf Aktualisieren die Startseite weiss ist. Eine Website sollte in erster Linie funktionieren. Jahrelang. Ohne dass du jeden Monat jemanden dafür bezahlst, dass sie das weiterhin tut.

Ich bin nicht gegen neue Technik, im Gegenteil

Damit kein falscher Eindruck entsteht. Ich bin kein Nostalgiker, der am liebsten alles wie 2005 hätte. Wir bei WOSA arbeiten täglich mit KI, wir setzen sie in Kundenprojekten ein, wir haben eigene KI-Tools gebaut. Ich finde es grossartig, dass Werkzeuge heute so zugänglich sind.

Das Problem ist nicht die Technik. Das Problem ist, wenn das Werkzeug das Fachwissen ersetzen soll statt es zu ergänzen. Die KI ist für einen erfahrenen Entwickler ein Turbo. Für jemanden ohne Grundlagen ist sie ein Autopilot ohne Fahrausweis. Beide kommen schnell voran. Nur einer weiss, was er tut, wenn die Warnleuchte angeht.

Welche Alternativen es gibt

Die gute Nachricht ist, du bist nicht auf WordPress angewiesen. Es gibt sehr gute Content-Management-Systeme, die das Wichtigste bereits mitbringen und nicht erst mit zwanzig Plugins ergänzt werden müssen. Ich habe bei dieser Liste bewusst nur moderne, aktiv weiterentwickelte Systeme aufgenommen, bei denen Formulare, SEO-Grundlagen und Benutzerverwaltung von Haus aus dabei sind und die man einem KMU guten Gewissens empfehlen kann. Sehr mächtige, aber komplexe Systeme wie TYPO3 oder Drupal lasse ich weg. Die sind für Konzerne gedacht, nicht für ein KMU, das eine saubere Website will. Auch Craft, Kirby oder ProcessWire sind technisch hervorragend, brauchen aber für ein simples Formular wieder ein Zusatzmodul, und genau das wollen wir hier vermeiden.

Contao

Mein persönlicher Favorit, wenn es ein klassisches CMS in PHP sein soll. Contao 5 basiert auf Symfony, dem Framework, auf dem auch grosse Shop- und Unternehmenssysteme laufen, und bringt einen Formulargenerator mit, der Eingaben prüft, per Mail versendet oder in der Datenbank speichert. Suchmaschinenfreundliche URLs, strukturierte Daten, Versionierung, fein abgestufte Benutzerrechte, Newsletter und mehrsprachige Seiten sind im Kern enthalten. Contao wird in Deutschland und der Schweiz von einer aktiven Gemeinschaft gepflegt, es gibt eine Langzeit-Version mit vier Jahren Support, und Sicherheitsmeldungen sind dort selten. Für eine Firmenwebsite mit zehn bis hundert Seiten ist Contao aus meiner Sicht die beste Wahl.

Concrete CMS

Concrete CMS, aktuell in Version 9, setzt auf das Bearbeiten direkt auf der Seite. Du klickst auf einen Textblock und änderst ihn, wo er steht. Formulare sind als Block eingebaut, Antworten lassen sich speichern oder per Mail verschicken. SEO-Felder, Versionen mit Freigabe-Workflow, Benutzerrechte und ein Dateimanager gehören zum Kern. Für Kunden, die ihre Inhalte selbst pflegen wollen und keine Lust auf ein abstraktes Backend haben, ist Concrete eine sehr angenehme Lösung.

Statamic

Statamic ist das moderne Kind in dieser Runde. Es basiert auf Laravel, dem am weitesten verbreiteten PHP-Framework, und speichert Inhalte wahlweise als Dateien oder in einer Datenbank. Formulare, Suche, Navigation, Bildbearbeitung und Caching sind im Kern enthalten. Die Lizenz für Firmenprojekte kostet einmalig ein paar hundert Dollar, das ist weniger als ein Jahr WordPress-Wartung. Statamic ist ideal, wenn deine Agentur ohnehin mit Laravel arbeitet oder wenn Inhalte sauber in der Versionskontrolle liegen sollen.

Ghost

Ghost ist das einzige System in dieser Liste, das nicht auf PHP läuft, sondern auf Node.js. Es gehört trotzdem hierher, weil es konsequent das Gegenteil von WordPress macht. Ghost ist radikal schlank und bringt genau das mit, was eine Firma braucht, die über Inhalte Kunden gewinnt. Newsletter-Versand, Mitgliederbereich mit Bezahlabos, Anmeldeformulare, Kommentare, saubere SEO-Grundlagen mit Sitemap und strukturierten Daten sowie eine eigene Besucherstatistik sind im Kern enthalten, ohne ein einziges Plugin. Ehrlich dazu: Ein klassisches Kontaktformular hat Ghost nicht eingebaut, dafür das Anmeldeformular für Newsletter und Mitglieder. Wenn deine Website vor allem ein Blog, ein Magazin oder ein Newsletter mit Firmenauftritt ist, gibt es kaum etwas Besseres.

Oder gar kein CMS

Und dann gibt es noch den Weg, den wir bei WOSA am häufigsten gehen. Viele Firmenwebsites brauchen gar kein grosses CMS. Sie brauchen fünf bis zwanzig Seiten, ein Formular, vielleicht einen Blog oder einen Stellenbereich. Dafür kann ein erfahrener Entwickler heute mit Unterstützung der KI in kurzer Zeit ein eigenes, schlankes Backend bauen. Kurz, schnell, sicher, ohne fremden Code.

Wir haben dafür über die Jahre ein eigenes Basismodul entwickelt, das wir in jedes Projekt mitnehmen. Es enthält die Anmeldung per Passkey, die Registrierung und das Login über Google, und alle Sicherheitsnormen, die wir in zwanzig Jahren gelernt haben. Jede Website, die wir darauf bauen, ist von Anfang an sauber, und es gibt keine zwanzig Fremdprogramme, die wir pflegen müssen. Wenn PHP eine Lücke hat wie letzte Woche, prüfen wir eine Version beim Hoster, und fertig. Keine Plugins, keine Überraschungen, keine weisse Startseite nach dem Update.

Was du jetzt konkret tun solltest

Unabhängig davon, welches System du nutzt, hier die kurze Liste für diese Woche.

• Frag deinen Hoster oder deine Agentur schriftlich, welche PHP-Version auf deiner Website läuft und ob die Patches vom 21. Oktober eingespielt sind.
• Wenn die Antwort PHP 8.1 oder älter lautet, muss ein Wechsel auf eine aktuelle Version geplant werden. Es gibt für diese Versionen keine offiziellen Updates mehr.
• Wenn du keine Antwort bekommst oder die Frage nicht verstanden wird, hast du dein Problem gefunden. Es ist nicht die Lücke, es ist die Betreuung.
• Zähle deine Plugins. Wenn es mehr als zehn sind, überleg dir, wie viele davon du wirklich brauchst.
• Prüfe, ob du die Website nur noch wartest oder ob sie dir tatsächlich Kunden bringt. Wenn ersteres zutrifft, ist es Zeit für ein Gespräch.

Häufige Fragen zur PHP-Sicherheitslücke und zu WordPress

Ist meine WordPress-Website von der PHP-Sicherheitslücke betroffen?

Wenn deine Website auf PHP läuft, und das tut jede WordPress-Website, dann ja, solange die PHP-Version nicht gepatcht ist. Die Lücke liegt nicht in WordPress, sondern in PHP selbst. Ein WordPress-Update schliesst sie nicht. Dein Hoster oder deine Agentur muss die PHP-Version aktualisieren.

Wie finde ich heraus, welche PHP-Version meine Website nutzt?

Im Hosting-Kontrollpanel gibt es fast immer einen Punkt PHP-Version oder PHP-Einstellungen. In WordPress siehst du die Version unter Werkzeuge und Website-Zustand. Am sichersten ist aber die direkte Frage an den Hoster, weil die Anzeige im Backend nicht immer der tatsächlich laufenden Version entspricht.

Welche PHP-Versionen sind nach dem Patch sicher?

Sicher sind die Versionen 8.2.35, 8.3.36, 8.4.27 und 8.5.12 oder neuer. Alles unter PHP 8.2 bekommt vom PHP-Projekt keine offiziellen Updates mehr. Einige Hoster und Linux-Distributionen liefern eigene Rückportierungen, verlass dich aber nicht blind darauf.

Reicht es, wenn ich alle WordPress-Plugins aktualisiere?

Nein. Plugin-Updates beheben Lücken in den Plugins. Die aktuelle Lücke steckt in PHP, also in der Sprache, die unter allem läuft. Das ist eine andere Ebene, und dort hilft nur das Update der PHP-Version durch den Hoster.

Warum sind WordPress-Plugins so ein Sicherheitsrisiko?

Weil 91 Prozent aller gemeldeten WordPress-Lücken in Plugins stecken und fast die Hälfte bei Veröffentlichung noch keinen Fix hat. Jedes Plugin ist ein eigenes Programm von einem eigenen Entwickler. Je mehr Plugins du nutzt, desto mehr Türen hast du, und desto mehr Leute haben einen Schlüssel.

Welches CMS ist sicherer als WordPress?

Jedes System kann sicher betrieben werden, wenn es aktuell gehalten wird. Der Unterschied liegt in der Angriffsfläche. Contao, Statamic, Concrete CMS und Ghost bringen Formulare, SEO und Benutzerverwaltung im Kern mit, du brauchst also deutlich weniger Fremdcode. Am kleinsten ist die Angriffsfläche bei einem schlanken, eigens gebauten Backend ohne Plugins.

Ist eine selbst programmierte Website nicht teurer als WordPress?

Beim Start manchmal, über die Jahre fast nie. Eine WordPress-Website mit Wartungsvertrag kostet dich 100 bis 250 Franken im Monat, und das jedes Jahr. Eine sauber gebaute Website mit eigenem Backend braucht deutlich weniger Pflege, und du bezahlst nicht dafür, dass fremde Plugins miteinander funktionieren.

Ist Contao schwierig zu bedienen?

Für Redakteure nicht. Das Backend ist klar strukturiert, Inhalte sind in Artikel und Elemente unterteilt, und du musst nichts programmieren. Die Einrichtung sollte eine Agentur machen, die Contao kennt. Danach pflegst du Texte, Bilder und Formulare selbst.

Muss ich jetzt sofort von WordPress wegwechseln?

Nein. Sofort musst du nur eines, nämlich sicherstellen, dass deine PHP-Version gepatcht ist. Der Wechsel des Systems ist eine Frage der nächsten Monate. Sinnvoll ist er, wenn deine Website mehr Wartung als Nutzen bringt, wenn du mehr als zehn Plugins hast oder wenn deine Agentur dir die PHP-Frage nicht beantworten kann.

Wie erkenne ich, ob meine Agentur Ahnung von Webentwicklung hat?

Stell drei Fragen. Welche PHP-Version läuft auf meiner Website. Welche Plugins sind installiert und warum. Was passiert, wenn eines davon nicht mehr gepflegt wird. Wer auf alle drei eine klare Antwort hat, versteht sein Handwerk. Wer ausweicht, steckt Dinge zusammen.

Du willst wissen, ob deine Website von der PHP-Lücke betroffen ist, oder du hast genug von Plugin-Updates und Wartungsverträgen? Wir schauen uns deine Website an und sagen dir ehrlich, wo du stehst. Nimm einfach Kontakt mit uns auf.