Sicherheitslage: Kritische PHP-Lücken, ist Ihre Website betroffen?

Was ist passiert

Das PHP-Projekt hat am 21. Oktober 2026 zwei Lücken geschlossen (CVE-2026-109618 und CVE-2026-109619), beide mit dem kritischen Wert 9.2 bewertet. Über sie können Angreifer ohne Anmeldung Code auf dem Webserver ausführen, mit den Rechten des Webservers. CERT.at warnt, dass alle PHP-Installationen betroffen sind, die Webanfragen verarbeiten, also die üblichen Einrichtungen mit PHP-FPM oder Apache.

Behoben sind die Lücken in den Versionen 8.5.12, 8.4.27, 8.3.36 und 8.2.35. Ältere Versionen ab 8.1 abwärts bekommen vom PHP-Projekt keine Updates mehr. Laut CERT.at ist ausschließlich ein Update eine vollständige Abhilfe, alle anderen Einstellungen schützen nur teilweise. Zum Zeitpunkt der Warnung waren keine Angriffe bekannt, bei Lücken dieser Art folgen sie erfahrungsgemäß rasch.

Wen betrifft es

Jeden Betrieb mit einer Website, einem Webshop oder einer internen Webanwendung auf PHP-Basis: WordPress, Joomla, TYPO3, WooCommerce, Shopware und viele Kundenportale, Intranets und Ticketsysteme. Das eigentliche Problem ist oft die Zuständigkeit. Die Website hat eine Agentur gebaut, sie liegt bei einem Hoster, und wer die PHP-Version aktualisiert, ist nirgends festgehalten.

Was Sie sofort tun sollten

1. Hoster oder Agentur schriftlich fragen: Welche PHP-Version läuft auf unserer Website, und wurde sie seit dem 21. Oktober 2026 aktualisiert? Lassen Sie sich die Antwort mit Versionsnummer geben.
2. Im Kundenmenü nachsehen. Bei vielen Hostern lässt sich die PHP-Version selbst ablesen und umstellen.
3. Alte Versionen ablösen. Läuft noch PHP 8.1 oder älter, gehört die Seite auf eine unterstützte Version. Vorher prüfen, ob Theme und Erweiterungen damit funktionieren.
4. Eigener Server: Pakete der Distribution aktualisieren und danach alle PHP-Prozesse neu starten. Ein Update ohne Neustart wirkt nicht.
5. Vergessene Seiten finden. Alte Testseiten, Kampagnenseiten und frühere Shops laufen oft unbeachtet weiter und sind genauso angreifbar.
6. Wenn das Update auf sich warten lässt: Eine vorgeschaltete Web Application Firewall (WAF) kann übergroße und auffällige Anfragen abweisen, bevor sie den Webserver erreichen. Genau das nennt CERT.at als Teilschutz, bis das Update eingespielt ist.

Was mittelfristig hilft

• Eine Web Application Firewall vorschalten. Eine WAF prüft jede Anfrage, bevor sie Ihre Website erreicht, blockiert bekannte Angriffsmuster und wehrt Überlastungsangriffe ab. Sie ersetzt das Update nicht, ist aber eine zweite Schicht, die auch bei der nächsten Lücke greift, oft schon bevor der Hoster reagiert hat.
• Zuständigkeit schriftlich festlegen. Ein Wartungsvertrag regelt, wer Server, PHP, System und Erweiterungen aktuell hält und in welcher Frist.
• Automatische Sicherheitsupdates für System und PHP, wo immer es möglich ist.
• Den nächsten Umstieg planen. PHP 8.2 erhält nur noch bis 31. Dezember 2026 Updates.
• Weniger ist sicherer. Nicht genutzte Erweiterungen und Themes entfernen, jede davon ist zusätzlicher Code im Internet.
• Website und Firmennetz trennen und die Website regelmäßig sichern, damit ein Einbruch dort nicht zum Problem für den ganzen Betrieb wird.

Wie wir unterstützen

Der Security-Kurzreport zeigt, was von Ihrem Betrieb aus dem Internet sichtbar und angreifbar ist, auch Websites und vergessene Subdomains. Im Paket Secure+ behalten wir diesen Blick von außen laufend im Auge. Mit unserem Website- und Domain-Schutz auf Basis von Cloudflare schalten wir Ihrer Website eine Web Application Firewall vor, die Web-Angriffe und Überlastungsangriffe abwehrt. Sie lässt sich als Zusatzleistung je Domain zu jedem Paket buchen. Und wir helfen Ihnen, die Zuständigkeit mit Ihrer Agentur oder Ihrem Hoster sauber zu klären.

Quellen

• CERT.at: Kritische Sicherheitslücken in PHP, Updates verfügbar (21.10.2026)
• PHP-Projekt: Security advisory, Critical remote code execution vulnerabilities
• GitHub Security Advisory GHSA-w8hw-w9fx-j79w (CVE-2026-109618)
• GitHub Security Advisory GHSA-6wmf-4rv5-p3rp (CVE-2026-109619)

Dieser Beitrag gibt den Stand vom 3. November 2026 wieder. Maßgeblich für Versionen und Abhilfen sind die Hinweise der Hersteller.