Warum wir Websites mit Next.js bauen – und was WordPress-Betreiber jetzt prüfen sollten

Die PHP-Entwickler haben Ende Oktober 2026 Sicherheitsupdates für zwei kritische Lücken veröffentlicht: CVE-2026-109618 und CVE-2026-109619, in der Presse „PHP2Shell“ genannt. Beide können laut den Sicherheitsberichten ohne Anmeldung zur Ausführung von Fremdcode auf dem Server führen. Da WordPress auf PHP läuft, betrifft das auch viele Firmenwebsites.

Dieser Beitrag ordnet das ein, ohne Panik: Was ist passiert, was sollten Sie jetzt prüfen, und warum bauen wir selbst Websites mit Next.js statt mit WordPress – inklusive der Schwächen, die Next.js hat.

Was ist passiert?

• Es handelt sich um zwei Fehler in PHP selbst, nicht in WordPress oder einem bestimmten Plugin.
• Gepatcht sind laut Berichten die PHP-Versionen 8.5.12, 8.4.27, 8.3.36 und 8.2.35. Für ältere Zweige gibt es teils Backports der Hoster oder Linux-Distributionen.
• Vor der offiziellen Veröffentlichung sind Details durchgesickert; ein Exploit-Werkzeug soll im Umlauf sein. Es ist deshalb sinnvoll, nicht Wochen zu warten.
• Ob Ihre Website betroffen ist, hängt von der PHP-Version Ihres Hostings ab, nicht davon, ob Ihr WordPress aktuell ist.

Was Sie jetzt prüfen sollten

1. PHP-Version feststellen. In WordPress unter Werkzeuge → Website-Zustand → Info → Server, oder im Kundenmenü Ihres Hosters.
2. Prüfen, ob der Hoster gepatcht hat. Fragen Sie schriftlich nach, ob die Korrekturen für CVE-2026-109618 und CVE-2026-109619 eingespielt sind (bei Distributions-Backports ändert sich die angezeigte Versionsnummer nicht unbedingt).
3. Veraltete PHP-Versionen ablösen. PHP 7.x und ältere Versionen bekommen keine offiziellen Updates mehr; hier hilft nur ein Umzug auf eine unterstützte Version.
4. Aktuelle Backups sicherstellen – außerhalb des Servers und mit getesteter Wiederherstellung.
5. Plugins, Themes und WordPress-Kern aktualisieren und ungenutzte Plugins löschen, nicht nur deaktivieren.
6. Auffälligkeiten suchen: unbekannte Admin-Konten, neue Dateien in wp-content/uploads, ungewöhnliche Weiterleitungen oder Spam-Seiten in Google.
7. Zugangsdaten prüfen: Admin-Passwörter, FTP/SSH, Datenbank – bei Verdacht ändern.

Wenn Sie unsicher sind, wie es um Ihre Website steht: Schreiben Sie uns, wir schauen es uns an.

Warum wir Websites mit Next.js bauen

• Weniger Angriffsfläche im Betrieb. Bei WordPress ist jedes einzelne Plugin, jedes Theme und jedes Template eigener Code von wechselnden Autoren und damit eine mögliche Sicherheitslücke. Dazu kommen WordPress selbst, die Datenbank und, wie im aktuellen Fall, PHP als Laufzeit. Jede dieser Schichten muss dauerhaft aktuell gehalten werden, und eine Lücke in einer einzigen reicht aus. Auch ein öffentlich erreichbarer Admin-Login ist ein ständiges Angriffsziel. Unsere Seiten werden größtenteils beim Build erzeugt und als fertige Dateien ausgeliefert. Es gibt keine Plugin-Landschaft und keinen öffentlichen Admin-Login im Frontend. Weniger Schichten bedeuten weniger, was gepflegt werden muss und angreifbar ist.
• Kein PHP. Lücken wie PHP2Shell betreffen unseren Stack nicht.
• Schnelle Ladezeiten, was für Nutzer und Suchmaschinen zählt.
• Updates über feste Abhängigkeiten, die wir kontrolliert einspielen, statt dutzender Plugins mit unterschiedlichen Autoren.

Die Schwächen von Next.js – offen gesagt

Next.js ist nicht „sicher per Definition“. Im Dezember 2025 wurde mit React2Shell (CVE-2025-55182) eine kritische Lücke in den React Server Components bekannt, die auch Next.js-Projekte betraf und aktiv ausgenutzt wurde. Sie ist gepatcht – wer aber Updates nicht einspielt, bleibt angreifbar. Dazu kommen:

• Abhängigkeit vom Update-Rhythmus. Next.js und React brauchen regelmäßige Updates; ein Projekt, das nach dem Launch nie angefasst wird, veraltet.
• Mehr Entwicklungsaufwand als ein WordPress-Baukasten, wenn Sie Inhalte ohne Entwickler pflegen wollen (dafür braucht es ein Headless-CMS oder eine Pflege durch uns).
• Komplexere Infrastruktur, wenn serverseitige Funktionen (Formulare, Login, Datenbank) dazukommen.

Der Unterschied liegt weniger in „sicher“ gegen „unsicher“, sondern darin, wie klein die Angriffsfläche ist und wie konsequent gepflegt wird. Das gilt für WordPress genauso.

Fazit

Prüfen Sie diese Woche Ihre PHP-Version und fragen Sie Ihren Hoster nach dem Patch. Wenn Sie überlegen, Ihre Website auf einen modernen Stack umzuziehen, sprechen Sie uns an.