Am 21. Oktober 2026 hat das PHP-Projekt zwei kritische Sicherheitslücken veröffentlicht. Beide können unter bestimmten Bedingungen eine nicht authentifizierte Remote-Code-Ausführung ermöglichen. Angreifer könnten dadurch eigenen Schadcode auf einem betroffenen Server ausführen.
Betroffen sind laut PHP-Projekt grundsätzlich alle PHP-Installationen, die Webanfragen verarbeiten – darunter PHP-FPM, Apache mit mod_php, PHP-CGI, FrankenPHP und LiteSpeed. Die Sicherheitslücken betreffen damit nicht nur WordPress, sondern auch andere PHP-Anwendungen wie Shop-Systeme, Kundenportale und individuelle Webanwendungen.
Welche PHP-Lücken sind betroffen?
Es handelt sich um:
- CVE-2026-109618: Eine fehlerhafte Speicherbehandlung bei sogenannten Out-of-Memory-Situationen.
- CVE-2026-109619: Ein Problem mit zurückbleibenden internen Zuständen zwischen einzelnen Anfragen.
Beide Schwachstellen sind mit CVSS 9.2 von 10,0 als kritisch eingestuft. Das PHP-Projekt beschreibt als mögliche Folge eine Ausführung beliebigen Codes ohne vorherige Anmeldung.
Die offiziellen Sicherheitsversionen sind:
- PHP 8.5.12
- PHP 8.4.27
- PHP 8.3.36
- PHP 8.2.35
Das PHP-Projekt stellt klar: Nur ein Update auf eine korrigierte Version bietet vollständigen Schutz. Vorübergehende Konfigurationsänderungen können einzelne bekannte Angriffswege erschweren, ersetzen das Update aber nicht.
Wer muss reagieren?
Die Verantwortung hängt davon ab, wie der Server betrieben wird:
Bei verwaltetem Hosting
Bei vielen Webhosting-Paketen ist der Hosting-Anbieter für die PHP-Version und die Serverkonfiguration zuständig. Website-Betreiber sollten trotzdem im Kundenbereich prüfen, welche PHP-Version verwendet wird, und beim Anbieter nachfragen, ob die Sicherheitsupdates bereits eingespielt wurden.
Bei eigenen oder gemieteten Servern
Wer einen eigenen Root-Server, VPS oder dedizierten Server betreibt, muss selbst handeln. Das betrifft auch Agenturen, IT-Dienstleister und Unternehmen, die ihre Webserver intern verwalten.
Bei WordPress-Websites
Für diese Sicherheitslücken ist kein separates WordPress-Update erforderlich. Die Ursache liegt in der PHP-Laufzeitumgebung des Servers. WordPress, Plugins und Themes sollten natürlich ebenfalls aktuell gehalten werden, das allein behebt die PHP-Sicherheitslücken jedoch nicht.
Die verwendete PHP-Version lässt sich in WordPress unter Werkzeuge → Website-Zustand → Info → Server anzeigen. Viele Hoster stellen diese Information zusätzlich im Hosting-Kundenbereich bereit.
Was jetzt zu tun ist
Wir empfehlen folgende Reihenfolge:
- Alle Server und Hosting-Konten identifizieren, auf denen PHP eingesetzt wird.
- Besonders öffentlich erreichbare Websites und Anwendungen priorisieren.
- Die PHP-Version prüfen und auf eine korrigierte Version aktualisieren.
- Nach dem Update Website, Formulare, Login, Shop-Funktionen und Schnittstellen testen.
- Server- und Zugriffsprotokolle auf ungewöhnliche Anfragen oder neue Dateien prüfen.
- Bei einem Verdacht auf einen Einbruch nicht einfach nur aktualisieren, sondern zuerst eine Sicherheitsprüfung durchführen.
PHP-Versionen vor 8.2 erhalten vom PHP-Projekt keine regulären Sicherheitsupdates mehr. Für einzelne ältere Versionen können Linux-Distributionen oder kommerzielle Anbieter zurückportierte Sicherheitskorrekturen bereitstellen. Langfristig sollte jedoch auf eine unterstützte PHP-Version migriert werden. PHP 8.2 erreicht am 31. Dezember 2026 das Ende seines offiziellen Lebenszyklus.
Was tun, wenn ein sofortiges Update nicht möglich ist?
Wenn ein Update kurzfristig nicht möglich ist, sollten betroffene Systeme nach Möglichkeit vorübergehend vom öffentlichen Netz getrennt oder der Zugriff stark eingeschränkt werden.
Zusätzliche Schutzmaßnahmen wie reduzierte Upload-Größen, deaktivierter Upload-Fortschritt oder Einschränkungen auf Webserver- und Proxy-Ebene können das Risiko einzelner Angriffspfade reduzieren. Sie sind jedoch keine vollständige Lösung. Die PHP-Entwickler und europäische Sicherheitsbehörden empfehlen daher, das Update schnellstmöglich durchzuführen.
Wie wir unsere Kunden unterstützen können
Wir unterstützen unsere Kunden bei der Einschätzung und Umsetzung der notwendigen Maßnahmen. Je nach Hosting- und Serverumgebung können wir unter anderem:
- die eingesetzte PHP-Version prüfen,
- betroffene Websites und Server erfassen,
- die Kommunikation mit dem Hosting-Anbieter koordinieren,
- WordPress-Websites nach dem Update auf ihre wichtigsten Funktionen prüfen,
- auffällige Dateien, Benutzerkonten und Zugriffsprotokolle kontrollieren,
Wichtig: Ein PHP-Update kann Auswirkungen auf ältere Plugins, Themes oder individuelle Programmierungen haben. Deshalb sollte die Aktualisierung kontrolliert erfolgen und anschließend getestet werden.
Wenn Sie nicht sicher sind, welche PHP-Version Ihre Website verwendet oder wer für die Aktualisierung verantwortlich ist, sprechen Sie uns bitte an. Wir klären gemeinsam, welche Maßnahmen für Ihre Website sinnvoll und kurzfristig umsetzbar sind.
Stand: 22. Oktober 2026. Die Einschätzung basiert auf den offiziellen Sicherheitsinformationen des PHP-Projekts, CERT.at, ENISA und WordPress.org.
