Diese Woche haben Sie auf jedem Server PHP gepatcht. Auf BookPress gibt es kein PHP zum Patchen.
✓ Danke, wir melden uns.
Wir antworten innerhalb eines Werktags. Bis dahin können Sie eine echte Seite auf BookPress ausprobieren: Demo starten →
BookPress liefert WordPress-Seiten samt Plugins und wp-admin aus einer kompilierten Engine aus; im Request-Pfad steht kein PHP-Interpreter. Genau dort sitzt PHP2Shell (CVE-2026-109618 und CVE-2026-109619). Ziehen Sie zehn unkritische Seiten für zwölf Monate ohne Kosten auf BookPress um; zurück geht es mit einem Befehl, wann immer Sie wollen.
Was PHP2Shell ist
Am 21. Oktober 2026 hat das PHP-Projekt zwei Fehler behoben, Schweregrad 9,2 von 10. Bei CVE-2026-109618 geht einem Request mitten in der Einrichtung der Speicher aus; er hinterlässt Daten, denen die Aufräumroutine dann vertraut. Bei CVE-2026-109619 erreicht der Zustand eines Requests den nächsten Request auf demselben Worker. Die Korrekturen heißen PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35; PHP 7.4 bis 8.1 bekamen nur Quell-Patches, alles Ältere nichts. Laut PHP-Projekt ist jede Installation betroffen, die Web-Requests bedient: PHP-FPM, mod_php, php-cgi, FrankenPHP und LiteSpeed. Angriffsversuche gab es schon vier Tage vor der öffentlichen Korrektur.
Warum eine BookPress-Seite nicht betroffen ist
BookPress liefert eine Seite aus seiner eigenen Engine aus, und diese Engine enthält keinen Code des PHP-Projekts: Nichts ist aus PHP kopiert, kompiliert oder gelinkt. Die beiden PHP2Shell-Fehler finden also keinen Code, in dem sie sitzen könnten. Im Request-Pfad gibt es kein PHP-FPM, kein mod_php und keinen anderen PHP-Prozess; Ihre Plugins, Ihr Theme und Ihre wp-config.php laufen in der BookPress-Engine. Die Engine hält keine PHP-Sessions und hat keinen Upload-Progress-Handler, also keinen der Pfade, die der zweite Fehler erreicht. Jeder Worker löscht seinen Request-Zustand am Ende jedes Requests, und einen Request, der seine Speichergrenze erreicht, stoppt BookPress und verwirft seinen Speicher. Das WordPress, aus dem Sie importieren, liefert bis zum Umschalten weiter über sein eigenes PHP aus; aktualisieren Sie dieses PHP also heute auf jeden Fall.
Ein Befehl für den Import, einer für den Rückweg
Der Import liest die laufende MySQL-Datenbank über das WP-CLI der Seite aus, kopiert wp-content und merkt sich alles für den Rückweg:
wp bookpress import --dir=/var/www/wordpress --dry-run
wp bookpress import --dir=/var/www/wordpressDer Export schreibt Schema, Datenbank und Uploads an die Quelle zurück und überschreibt eine laufende Seite nur nach Rückfrage:
wp bookpress export --dir=/var/www/wordpressThemes, Plugins, Benutzer und URLs bleiben, wie sie sind. Die Installationsseite des Pilotprogramms führt Sie Schritt für Schritt durch die erste Seite.
Was das Pilotprogramm ist
Zehn unkritische Seiten, zwölf Monate, keine Rechnung. Sie lassen WordPress stehen und berichten uns, was sich geändert hat.
Das Pilotprogramm Pilotbedingungen →
Für alle, die weder Hoster noch Agentur sind, kommt Managed WordPress Hosting auf BookPress. Auf die Liste →