PHP-Sicherheitslücke: Was Betreiber jetzt tun müssen

Am 21. Oktober 2026 schließt das PHP-Team zwei kritische Sicherheitslücken. Hier steht, was passiert ist und was Sie heute prüfen sollten.

Hinweis: Dieser Beitrag wurde mit Unterstützung von KI (Claude von Anthropic) recherchiert und erstellt. Stand: 22. Oktober 2026. Die Angaben beruhen auf den unten genannten Quellen.

Was ist passiert?

Das PHP-Sicherheitsteam hat zwei kritische Schwachstellen geschlossen: CVE-2026-109618 und CVE-2026-109619. Beide sind mit 9,2 von 10 Punkten bewertet. Die Updates sind seit dem 21. Oktober 2026 verfügbar. Nach bisherigen Berichten können Angreifer darüber ohne Anmeldung Code auf dem Server ausführen. Einzelne Details waren schon am 20. Oktober durchgesickert.

Warum ist das gefährlich?

Die Lücken liegen in PHP selbst, nicht in einem Plugin. Ein Sicherheits-Plugin oder eine Firewall schützt deshalb nicht zuverlässig. Wer Code auf dem Server ausführen kann, kann Seiten verändern, Kundendaten auslesen oder Schadsoftware einbauen. Es gibt Berichte über Scans und erste Angriffe. Betroffen sind auch WordPress, Joomla, Drupal und Online-Shops, weil sie alle auf PHP laufen.

Was Sie jetzt tun sollten

PHP-Version prüfen

Im Kundenbereich Ihres Hosters unter PHP-Version oder Einstellungen nachsehen.

Hoster fragen

Nachfragen oder prüfen, ob der Patch auf Ihrem Server schon läuft.

Backup anlegen

Eine aktuelle Sicherung erstellen, bevor Sie etwas umstellen.

Updates einspielen

WordPress, Themes und Plugins auf den neuesten Stand bringen.

Welche PHP-Version ist sicher?

Gefixt sind PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35. Für PHP 8.1 und älter gibt es keine offiziellen Updates mehr. Dann hilft nur der Hoster mit eigenen Korrekturen oder eine Umstellung auf eine aktuelle Version. Meine eigenen Seiten laufen auf PHP 8.5.12.

Woran Sie einen Angriff erkennen

Quellen

Stand 22.10.2026. Quellen: Huntress, Patchstack, Help Net Security, STRATO-Pressemitteilung.

PHP-Version prüfen lassen

Ich prüfe PHP-Version, Updates und Backups Ihrer Webseite. Die Pflege kostet 49 Euro im Monat.

oder per E-Mail: hello@webengineers-agency.de

Passend zu Ihrem Vorhaben

Alles, was Sie wissen möchten

Ist meine WordPress-Seite betroffen?

Die Lücke liegt in PHP auf dem Server, nicht in WordPress selbst. Entscheidend ist, welche PHP-Version läuft und ob Ihr Hoster den Patch einspielt.

Gibt es den Patch schon?

Ja. Das PHP-Team hat die Fixes am 21. Oktober 2026 veröffentlicht. Laut STRATO sind sie dort auf allen eigenen Plattformen eingespielt.

Hilft ein Sicherheits-Plugin?

Nicht zuverlässig, denn die Lücke steckt in PHP selbst. Das Update von PHP ist entscheidend.

Muss ich selbst etwas tun?

Bei Webhosting meist nicht, prüfen Sie aber die PHP-Version und fragen Sie Ihren Hoster. Bei PHP 8.1 oder älter sollten Sie auf eine aktuelle Version umstellen.

Webseite planen? Sprechen wir darüber.

Schreiben Sie mir kurz, was Ihr Betrieb macht. Sie bekommen eine ehrliche Einschätzung und ein schriftliches Angebot. Kostenlos und unverbindlich.