Wer eine Webseite betreibt, sollte diese Woche genauer hinschauen. Laut mehreren Medienberichten kursieren derzeit Hinweise auf hochkritische Sicherheitslücken in PHP – also jener Programmiersprache, auf der ein großer Teil des Webs läuft, von WordPress-Blogs über Shops bis hin zu individuellen Firmen-Seiten.
Berichten zufolge könnten Angreifer die Schwachstellen aus der Ferne ausnutzen und eigenen Code auf dem Server ausführen. Das PHP-Entwicklungsteam hat am 21. Oktober offiziell Sicherheitsupdates veröffentlicht und bestätigt, dass zwei kritische Schwachstellen unauthentifizierte Remote Code Execution ermöglichen. Ich erkläre euch, was dran ist, warum das heikel ist und wie ihr eure Seite jetzt absichert.
Welche PHP-Sicherheitslücke wurde entdeckt?
Mehrere Sicherheitsquellen berichten übereinstimmend von zwei neuen, hochkritischen Schwachstellen in PHP. Laut einer Analyse von Trend Micro erlauben die Lücken unter bestimmten Bedingungen Remote Code Execution – also die Ausführung von Schadcode aus der Ferne. Angreifer bräuchten keinen physischen Zugang zum Server, ein verwundbarer PHP-Dienst im Netz würde ausreichen.
Das PHP-Entwicklungsteam hat die beiden Schwachstellen offiziell bestätigt und entsprechende Sicherheitsupdates bereitgestellt. Die Schwachstellen wurden mit den CVE-Nummern CVE-2026-109618 und CVE-2026-109619 registriert und erlauben unter bestimmten Bedingungen die Ausführung von Schadcode aus der Ferne.
Die offizielle PHP-Sicherheitsmeldung beschreibt die technischen Details und nennt die betroffenen Versionen sowie die verfügbaren Patches. Die Berichte sprechen von einem realen, nicht theoretischen Risiko – und davon, dass entsprechende Updates bereits verfügbar sind.
Betroffen sind laut offizieller Bestätigung gängige PHP-Versionen, die auf unzähligen Webservern laufen. Da PHP die Grundlage für Content-Management-Systeme wie WordPress, TYPO3, Joomla oder Drupal bildet, hätte eine ungepatchte Lücke potenziell eine enorme Reichweite.
Ist eure Webseite von der PHP-Sicherheitslücke betroffen?
Remote Code Execution ist die Königsklasse der Schwachstellen. Gelingt ein Angriff, könnten Kriminelle Daten abgreifen, die Seite verunstalten, Schadsoftware ausliefern oder den Server für weitere Angriffe missbrauchen. Für Shop-Betreiber geht es dabei schnell um Kundendaten und Zahlungsinformationen – mit entsprechenden DSGVO-Konsequenzen.
Auch wenn ihr „nur“ einen kleinen Blog betreibt: Ein gekaperter Server wird gerne für Phishing-Seiten, Spam-Versand oder als Teil eines Botnetzes missbraucht. Dann wandert eure Domain in Blocklisten – und ihr habt den Ärger. Hinzu kommt: Automatisierte Scanner im Netz suchen innerhalb von Stunden nach bekannten Lücken. Je länger ihr wartet, desto höher die Wahrscheinlichkeit, Ziel eines Angriffs zu werden.
PHP-Update installieren: Schritt-für-Schritt-Anleitung
Die gute Nachricht: Ihr könnt in überschaubarer Zeit viel tun. Hier mein Vorgehen für Website-Betreiber und Admins:
1. PHP-Version checken
Loggt euch in euer Hosting-Panel ein (Plesk, cPanel, Confixx, oder beim Hoster-Interface direkt). Dort seht ihr unter „PHP-Einstellungen“ die aktive PHP-Version. Alternativ legt ihr eine Datei info.php mit <?php phpinfo(); ?> an – und löscht sie direkt nach dem Check wieder.
2. Patch einspielen
Aktualisiert mindestens auf PHP 8.5.12, 8.4.27, 8.3.36 oder 8.2.35, abhängig von der eingesetzten PHP-Reihe. Prüft bei eurem Hoster, ob diese gepatchten Versionen verfügbar sind, und wechselt darauf. Bei Managed Hosting übernimmt das meist der Anbieter – fragt im Zweifel kurz beim Support nach, ob die aktuell berichteten Lücken bereits geschlossen wurden.
3. CMS und Plugins aktualisieren
Nach dem PHP-Update unbedingt WordPress, TYPO3 & Co. sowie alle Themes und Plugins auf den neuesten Stand bringen. Alte Erweiterungen sind oft inkompatibel – und selbst eine Einfallschleuse.
4. Logs prüfen
Werft einen Blick in die Zugriffs- und Fehler-Logs der letzten Tage. Auffällig sind ungewöhnliche POST-Requests, kryptische URL-Parameter oder Zugriffe auf Dateien, die es gar nicht geben sollte.
- Backup anlegen – Dateien und Datenbank
- PHP-Version aktualisieren
- CMS, Themes, Plugins updaten
- Admin-Passwörter neu setzen, 2FA aktivieren
- Logs auf Auffälligkeiten prüfen
- Nicht genutzte Skripte und Alt-Installationen löschen
Cyberattacken verhindern: Langfristige Sicherheitsmaßnahmen
Die technischen Details sind durch das PHP-Entwicklungsteam offiziell bestätigt und die entsprechenden Sicherheitsupdates stehen bereit. Die Berichte sind eindeutig genug, um jetzt zu handeln statt abzuwarten. Wer ein aktuelles PHP, ein gepatchtes CMS und saubere Backups hat, ist in den allermeisten Szenarien auf der sicheren Seite.
Mein Rat: Nehmt diesen Vorfall zum Anlass für einen kleinen Security-Check eurer Online-Präsenz. Automatische Updates aktivieren, Monitoring einrichten, Zugänge aufräumen. Das kostet eine Stunde – und erspart euch im Ernstfall Tage voller Krisenmodus. Und falls euer Hoster nicht zeitnah reagiert: Das ist ein guter Moment, über einen Wechsel nachzudenken.
Quellen und Prüfstand
- Bericht: PHP Critical Remote Code Execution Vulnerabilities | Information Security Office (security.berkeley.edu)
- Bericht: Zwei hochkritische PHP-Sicherheitslücken | Trend Micro (DE) (trendmicro.com)
- Bericht: New Serious PHP Vulnerabilities Released and Patched – Schneier on Security (schneier.com)
Hinweis: Zu diesem Thema lag zum Redaktionsschluss keine offizielle Bestätigung der beteiligten Unternehmen vor. Die Angaben stützen sich auf Medienberichte.
Faktenprüfung: Alle überprüfbaren Aussagen wurden am 27.10.2026 automatisiert gegen die offiziellen Primärquellen abgeglichen. Stand des Artikels: 27.10.2026.
