PHP-Sicherheitslücke: Was Website-Betreiber jetzt tun sollten

Stand: 21. Oktober 2026, 18:00 Uhr. Das PHP-Projekt hat die angekündigten Sicherheitsupdates veröffentlicht: PHP 8.2.35, 8.3.36, 8.4.27 und 8.5.12. Sie schließen zwei kritische Lücken, die Codeausführung aus der Ferne ohne Anmeldung erlauben können. Das PHP-Projekt schreibt dazu: Es gebe keine vollständigen Schutzmaßnahmen, ein Update sei die einzige sichere Wahl. Wer PHP-Websites betreibt, sollte jetzt prüfen, ob das Update schon läuft.

Was bekannt ist

Das PHP-Projekt hatte am 20. Oktober ein Sicherheitsrelease für den 21. Oktober angekündigt. Beide Lücken sind mit dem Wert 9,2 von 10 bewertet (Ankündigung des PHP-Projekts vom 20. Oktober 2026 (englisch)). Die Updates sind inzwischen erschienen (Release-Ankündigung PHP 8.2.35 (englisch)).
Das CERT-EU Security Advisory 2026-018 (englisch) führt sie als CVE-2026-109618 und CVE-2026-109619. Der Bewertung zufolge könnten Angreifer ohne Anmeldung eigenen Code auf dem Server ausführen. Technische Details waren zum Zeitpunkt der Meldung nicht veröffentlicht.
Nach Angaben von heise online: Wichtige PHP-Updates am 21. Oktober beheben Codeeinschleusung-Schwachstellen steckt der Fehler in jeder PHP-Version seit PHP 5. Funktionierende Angriffe dürften demnach innerhalb von Stunden oder wenigen Tagen auftauchen.
Betroffen kann alles sein, was PHP nutzt: WordPress, Joomla, Drupal, Magento, Online-Shops, Kontaktformulare und Webhosting mit PHP. Reine HTML-Seiten ohne PHP sind nicht betroffen.
Erste Betreiber haben Seiten vorsorglich vom Netz genommen. netzwelt: Kritische PHP-Lücke, EU-Behörde warnt nennt als Beispiele die Rechnungssoftware easybill, die Wiki-Plattform wiki.gg und den Verlag Choice of Games.

Was Sie als Website-Betreiber jetzt tun sollten

Erfassen, wo PHP läuft. Welche Ihrer Websites und Anwendungen nutzen PHP (zum Beispiel WordPress, ein Shop oder ein Kundenportal)? Das empfiehlt auch das CERT-EU.
Hoster oder Administrator ansprechen. Fragen Sie, wann die korrigierten PHP-Pakete eingespielt werden, und lassen Sie sich bestätigen, dass beide Lücken behoben sind. Ein Update von WordPress, Plugins oder Theme ersetzt das PHP-Update nicht.
Bei eigenem Server: PHP jetzt aktualisieren. Alle installierten PHP-Versionen berücksichtigen, danach die Dienste (zum Beispiel PHP-FPM) neu starten und prüfen, welche PHP-Version die Website tatsächlich ausliefert. Zeigt Ihr Paketmanager noch kein Update an, lesen Sie die Meldungen von apt update genau: Bei mir lag es an einem neuen Signaturschlüssel des Plesk-Repositorys, das Update war da, aber unsichtbar. Nicht mehr gepflegte Versionen (zum Beispiel PHP 7.4 und 8.1) bekommen in der Regel keinen Fix und sollten durch eine unterstützte Version ersetzt werden. PHP 8.2 erhält nach Angaben des PHP-Projekts nur noch bis 31. Dezember 2026 Sicherheitsfixes.
Wenn es noch kein Update gibt: Zugriff einschränken. Wenn Sie nicht sofort aktualisieren können, empfiehlt das CERT-EU, öffentlich erreichbare Anwendungen vorübergehend vom Internet zu trennen. Praktisch geht das zum Beispiel über eine IP-Freigabe oder ein VPN. Eine Wartungsseite innerhalb von WordPress reicht nicht, weil die Anfrage trotzdem von PHP verarbeitet wird.
Sich nicht auf Scheinschutz verlassen. Die angeblich schützende Einstellung session.upload_progress.enabled = 0 ist nach Angaben von heise unwirksam. Sperren für Datei-Uploads können allenfalls eine Übergangslösung sein und garantieren keinen Schutz.
Nach dem Update auf Auffälligkeiten prüfen. Suchen Sie nach unbekannten PHP-Dateien, neuen Administratoren, veränderten Dateien und ungewöhnlichen Prozessen. Ein Update beseitigt keinen Einbruch, der bereits stattgefunden hat.

Warum Sie nicht abwarten sollten

Bei einer solchen Lücke zählt die Zeit zwischen der Veröffentlichung des Updates und dem Einspielen. Sobald ein Update erscheint, lässt sich aus der Änderung ablesen, wo die Lücke liegt, und Angreifer suchen gezielt nach noch nicht aktualisierten Servern. Wer zügig handelt, verkürzt dieses Zeitfenster deutlich.

Hilfe, wenn Sie unsicher sind

Sie wissen nicht, ob Ihre Website betroffen ist, oder haben keinen Administrator, der sich darum kümmert? Dann melden Sie sich. Ich schaue mir Ihre Website und Ihren Server an, auch im Rahmen von IT-Beratung und Systemoptimierung. Telefon 0211 41849683, E-Mail service@techpirat.de, direkt per WhatsApp oder über die Kontaktseite. Münsterstr. 388 in Düsseldorf.

Quellen

Ihr TechPirat