PHP-Sicherheitslücken: Was Website-Betreiber und Hoster jetzt tun müssen
PHP-Sicherheitslücken betreffen die Technik hinter vielen Websites – nicht nur ein einzelnes WordPress-Plugin. Am 21. Oktober 2026 wurden Updates gegen zwei kritische Schwachstellen veröffentlicht. Wer eine Unternehmenswebsite oder einen Onlineshop betreibt, sollte jetzt den Patchstand beim Hoster klären. Ich erkläre, wer wofür zuständig ist und wie Sie geordnet vorgehen.
Stand: 21. Oktober 2026. Grundlage sind die offiziellen Meldungen des PHP-Projekts und von CERT-EU. Dies ist eine allgemeine Handlungshilfe, keine Bestätigung des Sicherheitszustands einer bestimmten Website.
Was ist passiert?
Die Schwachstellen CVE-2026-109618 und CVE-2026-109619 können Angreifern ermöglichen, ohne Anmeldung fremden Programmcode auf betroffenen Servern auszuführen. Vereinfacht geht es um Fehler bei der Verwaltung des Arbeitsspeichers. Das PHP-Projekt nennt sämtliche PHP-Installationen, die Webanfragen bearbeiten, als gefährdet – darunter PHP-FPM, Apache mit mod_php, CGI, FrankenPHP und LiteSpeed. Besonders hoch bewertet es das Risiko bei mod_php: Dort wurde ein Angriff vor Ausführung des eigentlichen Anwendungscodes demonstriert. Quelle: PHP-Sicherheitsmeldung vom 21. Oktober 2026.
Eine gefährdete Installation ist nicht automatisch bereits kompromittiert. Umgekehrt beweist eine normal funktionierende Startseite nicht, dass alles sicher ist. Für Kunden und Besucher ist das in erster Linie ein Problem der Serverbetreiber; ein Virenscanner auf dem eigenen Notebook repariert den Webserver nicht.
Welche PHP-Versionen enthalten die Korrektur?
| PHP-Zweig | Veröffentlichter Sicherheitsstand |
|---|---|
| 8.2 | 8.2.35 |
| 8.3 | 8.3.36 |
| 8.4 | 8.4.27 |
| 8.5 | 8.5.12 |
Ältere Ausgaben dieser Zweige benötigen das Update. Bei Distributions- oder LTS-Paketen können zurückübertragene Korrekturen vorliegen: Dann zählt die Sicherheitsmeldung des Paket-Anbieters, nicht allein die angezeigte PHP-Hauptversion. PHP 8.1 und älter erhalten keine regulären Updates mehr vom PHP-Projekt; dafür muss ein bestätigter Anbieter-Fix vorliegen oder auf einen unterstützten Zweig umgestellt werden. Quelle: CERT-EU, Advisory 2026-018.
Website-Betreiber: Diese Schritte empfehle ich jetzt
- Zuständigkeit klären. Nutzen Sie ein Hostingpaket oder einen verwalteten Server, ist meist der Anbieter für die PHP-Laufzeit zuständig. Bei einem selbst verwalteten Server liegt die Aufgabe bei Ihrer Administration. Schreiben Sie nicht nur an die Person, die Ihre Texte pflegt.
- Alle Websites erfassen. Notieren Sie Domains, Subdomains, Shop, Testumgebungen und ältere Installationen. Eine vergessene Testseite kann denselben Server nutzen wie die Hauptwebsite.
- Patchstand schriftlich bestätigen lassen. Fragen Sie ausdrücklich nach beiden CVE-Nummern und nach der PHP-Version beziehungsweise dem korrigierten Anbieter-Paket, das die jeweilige Website tatsächlich verarbeitet.
- Datensicherung und Funktionstest abstimmen. Prüfen Sie, ob eine brauchbare Sicherung von Dateien und Datenbank vorhanden ist. Nach dem Update testen Sie Anmeldung, Kontaktformular, Uploads und bei Shops den Bestellablauf. Dringende Sicherheitsupdates sollten nicht wegen einer perfekten Testplanung unnötig warten.
- Bei fehlendem Fix eine Zwischenlösung vereinbaren. CERT-EU empfiehlt, bei nicht zeitnah möglicher Aktualisierung eine Trennung öffentlich erreichbarer Anwendungen vom öffentlichen Netz zu erwägen. Das muss der Hoster technisch umsetzen; ein WordPress-Wartungsplugin ist keine verlässliche Abschottung der PHP-Laufzeit.
Wichtig: Ein WordPress-, Theme- oder Plugin-Update allein ersetzt das PHP-Update nicht. Ebenso wenig sind HTTPS, eine gute Sicherheitscheck-Punktzahl oder ein installiertes Sicherheitsplugin ein Patchnachweis.
Vorlage: Diese Nachricht können Sie Ihrem Hoster schicken
Guten Tag, bitte prüfen Sie für meine Domains und Subdomains den Schutz gegen CVE-2026-109618 und CVE-2026-109619. Sind die tatsächlich eingesetzten PHP-Laufzeiten bereits mit den offiziellen Korrekturen beziehungsweise bestätigten Anbieter-Backports aktualisiert? Bitte nennen Sie den aktiven Versions- oder Paketstand und bestätigen Sie, dass auch laufende PHP-Prozesse die neue Version verwenden. Falls die Korrektur noch fehlt: Wann wird sie umgesetzt und welche wirksame Absicherung erfolgt bis dahin? Bitte berücksichtigen Sie auch Testumgebungen und abweichende PHP-Versionen einzelner Domains. Vielen Dank.
Hoster und Administratoren: Nicht nur das Paket installieren
Die folgenden Punkte sind meine praktische Checkliste für die Umsetzung. Konkrete Paketnamen und Neustartverfahren hängen von Betriebssystem, Hostingpanel und Architektur ab.
- Bestandsaufnahme: Alle PHP-Versionen, Pools, virtuellen Hosts, Container und eingebetteten Anwendungen erfassen. Auch alte Images und Reserveinstanzen berücksichtigen.
- Verlässliche Updates einspielen: Offizielle Releases oder die bestätigten Sicherheitsupdates des eigenen Distributions- beziehungsweise LTS-Anbieters verwenden. Kompatibilität zunächst innerhalb des unterstützten Versionszweigs prüfen; ein unvorbereiteter großer Versionssprung ist nicht automatisch nötig.
- Laufende Instanzen erneuern: Nach den Vorgaben der Plattform Webserver, PHP-FPM-Pools und weitere langlebige Prozesse neu starten beziehungsweise Container neu ausrollen. Eine neue Datei auf der Festplatte garantiert nicht, dass alle Worker sie bereits verwenden.
- Wirksamen Stand kontrollieren: Die PHP-Version der konkreten Webanwendung prüfen. Die Ausgabe von php -v in der Kommandozeile kann zu einer anderen Installation gehören. Keine öffentlich erreichbare phpinfo-Seite dauerhaft stehen lassen.
- Funktionen und Protokolle prüfen: Fehlerquoten, ungewöhnliche Prozesse, veränderte Dateien und verdächtige Zugriffe untersuchen. Auffälligkeiten nicht vorschnell löschen; relevante Protokolle sichern und einen möglichen Vorfall getrennt vom normalen Update behandeln.
- Kunden informieren: Zeitpunkt, betroffene Dienste, eingespielten Fix und verbleibende Einschränkungen verständlich dokumentieren. Eine pauschale Aussage „PHP ist aktuell“ ohne Bezug zur jeweiligen Umgebung hilft wenig.
Warum ich keine pauschalen php.ini-Tricks empfehle
Das PHP-Projekt beschreibt vorübergehende Maßnahmen gegen einzelne Angriffspfade, betont aber ausdrücklich: Sie machen eine ungepatchte Installation nicht sicher. Änderungen an Speichergrenzen oder Upload-Verarbeitung gehören deshalb in die Hand der Administration und müssen mit den offiziellen Hinweisen abgeglichen werden. Einfach eine Einstellung aus einem Forum zu übernehmen kann zusätzlich Verfügbarkeit oder Funktionen beeinträchtigen.
Insbesondere sollte niemand aus diesem Artikel ableiten, sämtliche Speicherbegrenzungen auf eigene Faust abzuschalten. Die vollständige technische Bewertung und die sichere Begrenzung auf Serverebene gehören zusammen. Das Ziel bleibt der überprüfte Fix, nicht ein dauerhaftes Provisorium.
Häufige Fragen
Ist meine WordPress-Seite automatisch gehackt?
Nein. Verwundbarkeit und ein tatsächlich erfolgter Angriff sind zwei verschiedene Dinge. Lassen Sie den Patchstand bestätigen. Bei konkreten Auffälligkeiten ist zusätzlich eine Untersuchung nötig.
Reicht ein Backup?
Nein. Eine Sicherung unterstützt die Wiederherstellung, schließt aber keine Sicherheitslücke. Eine ungepatchte Wiederherstellung kann erneut angegriffen werden. Außerdem muss geprüft werden, ob die Sicherung aus einem vertrauenswürdigen Zustand stammt.
Behebt das Update auch einen bereits erfolgten Einbruch?
Nicht automatisch. Bereits abgelegte Schadsoftware, fremde Benutzerkonten oder entwendete Zugangsdaten verschwinden dadurch nicht. Bei einem bestätigten Vorfall müssen Bereinigung, Wiederherstellung und Zugangsdaten gesondert behandelt werden.
Unterstützung für Unternehmen in Gummersbach und Oberberg
Sie wissen nicht, welche PHP-Version Ihre Website verwendet oder wer das Update übernimmt? Ich unterstütze Sie bei der Einordnung, der Abstimmung mit Ihrem Hoster und der anschließenden Funktionsprüfung. Umfang und Möglichkeiten hängen vom Hosting und den vorhandenen Zugängen ab; eine vollständige Absicherung oder erfolgreiche Bereinigung lässt sich nicht pauschal versprechen.
PHP- und Website-Prüfung anfragen
Grundlagen finden Sie in meiner Akademie zu Hosting und Domains sowie Sicherheit und Backups.
