Zwei kritische Sicherheitslücken in PHP sorgen seit dem 21. Oktober 2026 für dringenden Handlungsbedarf bei Website-Betreibern. Die Schwachstellen können es Angreifern unter bestimmten Voraussetzungen ermöglichen, Schadcode auf einem Server auszuführen – und das ohne vorherige Anmeldung.
Betroffen sind nicht nur individuell programmierte Websites, sondern potenziell auch zahlreiche Content-Management-Systeme wie WordPress, TYPO3, Joomla und Drupal, sofern diese eine verwundbare PHP-Laufzeitumgebung verwenden.
Das PHP-Projekt hat Sicherheitsupdates veröffentlicht. Doch viele Website-Betreiber wissen weder, welche PHP-Version ihr Server verwendet, noch, ob ihr Hosting-Anbieter die notwendigen Aktualisierungen bereits eingespielt hat.
Wir erklären, was hinter den Sicherheitslücken steckt, welche PHP-Versionen betroffen sind und wie Sie Ihre Website jetzt absichern können.
Was ist passiert? Zwei kritische PHP-Sicherheitslücken entdeckt
Am 21. Oktober 2026 wurden Sicherheitsupdates für zwei schwerwiegende Schwachstellen in der Programmiersprache PHP veröffentlicht.
Die Sicherheitslücken tragen die Kennungen:
- CVE-2026-109618: Eine Schwachstelle in der Speicherverwaltung bei sogenannten Out-of-Memory-Situationen.
- CVE-2026-109619: Eine Schwachstelle, bei der bereits freigegebene Speicherbereiche beziehungsweise veraltete interne Zustände erneut verwendet werden können.
Beide Sicherheitslücken wurden mit einem CVSS-v4.0-Wert von 9,2 als kritisch eingestuft.
Unter bestimmten Bedingungen können Angreifer diese Schwachstellen aus der Ferne ausnutzen, um eigenen Programmcode auszuführen. Dafür ist nicht zwingend ein Benutzerkonto auf der betroffenen Website erforderlich.
Besonders problematisch: Die Schwachstellen befinden sich direkt in PHP und nicht lediglich in einer einzelnen Erweiterung oder einem bestimmten Content-Management-System.
Das bedeutet, dass grundsätzlich viele PHP-basierte Webanwendungen betroffen sein können.
Was ist PHP und warum nutzen so viele Websites diese Technologie?
PHP ist eine serverseitige Programmiersprache, die seit vielen Jahren für die Entwicklung dynamischer Websites eingesetzt wird.
Auch bekannte Content-Management-Systeme wie WordPress verwenden PHP, um Inhalte zu verarbeiten, Datenbankabfragen durchzuführen und dynamische Seiten auszuliefern.
Wenn ein Besucher eine WordPress-Website aufruft, führt der Webserver PHP-Code aus und erzeugt daraus die angeforderte Seite.
Genau deshalb können Sicherheitslücken in PHP weitreichende Auswirkungen haben.
Während sich eine Sicherheitslücke in einem WordPress-Plugin häufig auf Websites beschränkt, die dieses Plugin verwenden, betrifft eine Schwachstelle in PHP möglicherweise zahlreiche unterschiedliche Anwendungen und Hosting-Umgebungen.
Welche PHP-Versionen sind betroffen?
Das PHP-Projekt hat am 21. Oktober 2026 korrigierte Versionen bereitgestellt.
| PHP-Version | Erste korrigierte Version |
|---|---|
| PHP 8.5 | 8.5.12 |
| PHP 8.4 | 8.4.27 |
| PHP 8.3 | 8.3.36 |
| PHP 8.2 | 8.2.35 |
Alle älteren Versionen innerhalb dieser Versionszweige gelten hinsichtlich der beiden genannten Sicherheitslücken als verwundbar, sofern keine gesonderten Sicherheitskorrekturen eingespielt wurden.
PHP 8.1 und ältere Versionen erhalten vom offiziellen PHP-Projekt keine regulären Sicherheitsupdates mehr. Einzelne Hosting-Anbieter oder Betriebssystemhersteller können allerdings eigene Sicherheitskorrekturen für ältere Versionen bereitstellen.
Wer eine ältere PHP-Version verwendet, sollte deshalb unbedingt beim Hosting-Anbieter nachfragen, ob entsprechende Sicherheitsupdates installiert wurden. Langfristig empfiehlt sich der Wechsel auf eine offiziell unterstützte PHP-Version.
Sind WordPress-Websites von der PHP-Sicherheitslücke betroffen?
Ja, WordPress-Websites können betroffen sein, wenn sie auf einer verwundbaren PHP-Version betrieben werden.
Dabei ist eine wichtige Unterscheidung notwendig:
Die Sicherheitslücke befindet sich in PHP selbst – nicht unmittelbar in WordPress.
Das bedeutet: Selbst wenn WordPress, sämtliche Plugins und das verwendete Theme auf dem neuesten Stand sind, kann weiterhin ein Sicherheitsrisiko bestehen, wenn die PHP-Version des Servers nicht aktualisiert wurde.
Ein gewöhnliches WordPress-Update reicht deshalb nicht aus, um die beiden PHP-Sicherheitslücken zu beheben.
Die PHP-Laufzeitumgebung muss ebenfalls aktualisiert beziehungsweise durch ein entsprechend abgesichertes Paket ersetzt werden.
Je nach Hosting-Anbieter erfolgt diese Aktualisierung automatisch oder muss im Kundenbereich beziehungsweise durch den Serveradministrator angestoßen werden.
Welche Folgen kann ein erfolgreicher Angriff haben?
Die möglichen Auswirkungen hängen unter anderem von der Serverkonfiguration und den Berechtigungen des betroffenen PHP-Prozesses ab.
Ein erfolgreicher Angriff kann beispielsweise dazu führen, dass:
- Schadcode auf dem Server ausgeführt wird.
- Vertrauliche Daten aus dem Speicher ausgelesen werden.
- Dateien oder Website-Inhalte manipuliert werden.
- Die Verfügbarkeit einer Website beeinträchtigt wird.
- Weitere Angriffe innerhalb der Berechtigungen des betroffenen Prozesses möglich werden.
Nicht jede verwundbare Website ist automatisch kompromittiert. Eine vorhandene Sicherheitslücke bedeutet zunächst, dass ein Risiko besteht.
Dennoch sollten die veröffentlichten Schwachstellen aufgrund ihrer möglichen Auswirkungen und der verfügbaren technischen Angriffsnachweise sehr ernst genommen werden.
So überprüfen Sie die PHP-Version Ihrer WordPress-Website
Wenn Sie WordPress verwenden, können Sie die eingesetzte PHP-Version häufig direkt im Administrationsbereich einsehen.
Schritt 1: Im WordPress-Backend anmelden
Öffnen Sie den Administrationsbereich Ihrer Website und melden Sie sich mit Ihrem Benutzerkonto an.
Schritt 2: Website-Zustand aufrufen
Navigieren Sie zu:
Werkzeuge → Website-Zustand → Bericht → Server
Dort finden Sie unter anderem Informationen zur PHP-Version Ihrer Website.
Schritt 3: PHP-Version vergleichen
Vergleichen Sie die angezeigte Version mit den oben genannten korrigierten Versionen.
Ist Ihre Version älter, sollten Sie prüfen, ob der Hosting-Anbieter bereits einen entsprechenden Sicherheitspatch bereitgestellt hat.
Schritt 4: Hosting-Anbieter kontaktieren
Bei vielen Hosting-Paketen lässt sich die PHP-Version im Kundenmenü verwalten.
Bei einem eigenen Server oder einer individuell konfigurierten Hosting-Umgebung muss die Aktualisierung gegebenenfalls durch einen Administrator erfolgen.
Wichtig: Die im WordPress-Backend angezeigte Versionsnummer allein beweist nicht immer, ob ein Hosting-Anbieter einen Sicherheitspatch zurückportiert hat. Im Zweifelsfall sollte der Anbieter bestätigen, dass die konkreten CVEs behoben sind.
PHP-Sicherheitslücke schließen: Diese Maßnahmen sind jetzt wichtig
1. PHP zeitnah aktualisieren
Die wichtigste Maßnahme ist die Installation einer korrigierten PHP-Version oder eines nachweislich abgesicherten Herstellerpakets.
Verwenden Sie möglichst eine offiziell unterstützte PHP-Version, die mit Ihrer Website kompatibel ist.
2. Vor dem Update ein Backup erstellen
Vor Änderungen an der Serverkonfiguration sollten aktuelle Sicherungen der Website-Dateien und Datenbank vorhanden sein.
So lässt sich die Website bei technischen Problemen gegebenenfalls wiederherstellen.
Ein Backup ersetzt allerdings kein Sicherheitsupdate.
3. Kompatibilität prüfen
Bei älteren Websites kann ein Wechsel auf eine neuere PHP-Hauptversion zu Problemen mit Plugins, Themes oder individuell programmierten Funktionen führen.
Idealerweise wird die Aktualisierung zunächst in einer Testumgebung überprüft.
4. WordPress, Themes und Plugins aktualisieren
Auch wenn die aktuellen Schwachstellen PHP selbst betreffen, sollten WordPress und alle verwendeten Erweiterungen regelmäßig aktualisiert werden.
Veraltete Plugins und Themes können zusätzliche Sicherheitsrisiken verursachen.
5. Die Website nach dem Update testen
Nach einer PHP-Aktualisierung sollten wichtige Funktionen überprüft werden.
Dazu gehören beispielsweise:
- Kontaktformulare
- Login-Bereiche
- Online-Shops und Bestellprozesse
- Buchungsfunktionen
- Individuelle Schnittstellen
- Darstellung und Erreichbarkeit der Website
6. Sicherheitsstatus dokumentieren
Bei geschäftlich genutzten Websites ist es sinnvoll, die eingesetzte PHP-Version, das Datum der Aktualisierung und die Ergebnisse der Funktionsprüfung festzuhalten.
So bleibt nachvollziehbar, welche Maßnahmen durchgeführt wurden.
Weitere PHP-Schwachstelle am 23. Oktober bekannt geworden
Nach Veröffentlichung der beiden kritischen Sicherheitsupdates wurde am 23. Oktober 2026 eine weitere Schwachstelle unter der Kennung CVE-2026-115560 bekannt.
Nach Angaben von CERT-EU betrifft diese eine ungewöhnliche PHP-Konfiguration. Für diese Schwachstelle war zum Zeitpunkt der Veröffentlichung der aktualisierten Warnung noch kein außerplanmäßiges PHP-Release vorgesehen.
Als vorübergehende Schutzmaßnahme wird unter anderem empfohlen, die PHP-Einstellung session.upload_progress.enabled serverseitig zu deaktivieren und die betroffenen PHP-Worker neu zu starten.
Solche Änderungen sollten ausschließlich durch erfahrene Administratoren vorgenommen werden, da sie von der jeweiligen Serverkonfiguration abhängen.
Die zusätzliche Meldung zeigt, wie wichtig es ist, Sicherheitsinformationen auch nach einem bereits durchgeführten Update weiter zu verfolgen.
Warum regelmäßige Website-Wartung unverzichtbar ist
Die aktuellen PHP-Sicherheitslücken machen deutlich, dass Website-Sicherheit nicht mit der einmaligen Erstellung einer Website abgeschlossen ist.
Viele Unternehmen investieren in ein modernes Webdesign, eine professionelle Suchmaschinenoptimierung und hochwertige Inhalte. Die technische Wartung wird dagegen häufig unterschätzt.
Dabei bilden regelmäßige Updates, Backups und Sicherheitsprüfungen eine wichtige Grundlage für den zuverlässigen Betrieb einer geschäftlichen Website.
Zu einer professionellen Website-Wartung gehören unter anderem:
- Regelmäßige Aktualisierung des Content-Management-Systems
- Prüfung und Aktualisierung von Plugins und Themes
- Kontrolle der PHP-Version und Hosting-Umgebung
- Regelmäßige und überprüfbare Datensicherungen
- Überwachung auf technische Fehler und Auffälligkeiten
- Kontrolle wichtiger Website-Funktionen nach Updates
Besonders bei älteren Websites können sich technische Altlasten ansammeln, die notwendige Sicherheitsupdates erschweren.
Eine kontinuierliche Betreuung hilft dabei, solche Probleme frühzeitig zu erkennen und technische Risiken zu reduzieren.
Häufige Fragen zur PHP-Sicherheitslücke 2026
Ist meine Website automatisch gehackt, wenn sie eine betroffene PHP-Version verwendet?
Nein. Eine verwundbare PHP-Version bedeutet nicht automatisch, dass ein erfolgreicher Angriff stattgefunden hat. Sie stellt jedoch ein Sicherheitsrisiko dar, das schnellstmöglich behoben werden sollte.
Reicht es aus, WordPress zu aktualisieren?
Nein. Da sich die beiden kritischen Schwachstellen in PHP selbst befinden, muss auch die PHP-Laufzeitumgebung abgesichert werden.
Kann ich die PHP-Version selbst aktualisieren?
Das hängt vom Hosting-Paket und Ihren technischen Kenntnissen ab. Viele Anbieter ermöglichen die Umstellung im Kundenbereich. Bei komplexeren Websites sollte die Kompatibilität vorher geprüft werden.
Ist PHP 8.1 noch sicher?
PHP 8.1 erhält vom offiziellen PHP-Projekt keine regulären Sicherheitsupdates mehr. Einzelne Anbieter können zwar zusätzliche Patches bereitstellen, langfristig ist jedoch eine Migration auf eine unterstützte PHP-Version sinnvoll.
Wie erkenne ich, ob mein Hosting-Anbieter die Sicherheitslücke geschlossen hat?
Prüfen Sie die eingesetzte PHP-Version und die Sicherheitsmeldungen Ihres Hosting-Anbieters. Bei Unklarheiten sollten Sie gezielt nach den Sicherheitslücken CVE-2026-109618 und CVE-2026-109619 fragen.
Fazit: PHP-Updates sind ein wichtiger Bestandteil der Website-Sicherheit
Die im Oktober 2026 veröffentlichten PHP-Sicherheitslücken zeigen, wie schnell aus einer technischen Schwachstelle ein ernstzunehmendes Risiko für geschäftliche Websites werden kann.
Besonders wichtig ist, dass auch aktuelle WordPress-Installationen betroffen sein können, wenn die zugrunde liegende PHP-Version nicht ausreichend abgesichert ist.
Website-Betreiber sollten deshalb zeitnah prüfen, welche PHP-Version verwendet wird, ob die notwendigen Sicherheitskorrekturen installiert wurden und ob die Website insgesamt technisch auf dem aktuellen Stand ist.
Eine sichere Website braucht nicht nur ein modernes Design, sondern auch eine zuverlässig gewartete technische Grundlage.
Website-Sicherheit und technische Betreuung mit mmedien
Eine professionelle Unternehmenswebsite soll nicht nur gut aussehen und bei Google gefunden werden. Sie muss auch technisch zuverlässig funktionieren.
Als Web- und Marketingagentur beschäftigt sich mmedien mit der Konzeption, Gestaltung und technischen Umsetzung professioneller Websites.
Sie sind unsicher, ob Ihre Website technisch auf dem aktuellen Stand ist oder ob bei einem PHP-Update Probleme auftreten könnten?
Sprechen Sie uns an. Wir besprechen mit Ihnen, welche technische Prüfung oder Unterstützung für Ihre Website sinnvoll ist.
Weitere Informationen finden Sie auf mmedien.net.
Quellen und weiterführende Informationen
- PHP-Projekt: Offizielle Sicherheitsmeldung vom 21. Oktober 2026
- CERT-EU: Critical Vulnerabilities in PHP
- CERT.at: Kritische Sicherheitslücken in PHP – Updates verfügbar
Stand der Informationen: 28. Oktober 2026. Da sich die Sicherheitslage weiterentwickeln kann, sollten Website-Betreiber aktuelle Hersteller- und CERT-Meldungen berücksichtigen.
