PHP-Sicherheitslücke: Ist meine Website betroffen? (2026)

Was ist bei PHP passiert?

PHP ist eine Programmiersprache, die auf vielen Webservern eingesetzt wird. Sie ermöglicht beispielsweise dynamische Websites, CMS-Funktionen, Formulare und die Verarbeitung von Daten.

Am 21. Oktober 2026 hat das PHP-Team zwei kritische Sicherheitslücken veröffentlicht. Sie werden unter den Kennungen CVE-2026-109618 und CVE-2026-109619 geführt. Je nach Serverkonfiguration können sie unter anderem dazu führen, dass Angreifer*innen Schadcode ausführen oder Informationen aus dem Arbeitsspeicher auslesen können.

Das betrifft nicht nur einzelne Content-Management-Systeme. Die Schwachstellen liegen in PHP selbst. Deshalb können grundsätzlich verschiedene PHP-basierte Anwendungen betroffen sein – unabhängig davon, welches CMS für die Website verwendet wird.

Für die betroffenen PHP-Versionen wurden Sicherheitsupdates bereitgestellt. Die offiziellen Informationen finden Sie auf der PHP-Website.

Welche PHP-Versionen sind betroffen?

Die PHP-Sicherheitsupdates vom 21. Oktober 2026 beheben die beiden Schwachstellen in folgenden Versionen:

• PHP 8.5.12

• PHP 8.4.27

• PHP 8.3.36

• PHP 8.2.35

Wenn Ihre Website eine ältere Version aus einem dieser Entwicklungszweige verwendet, sollten Sie prüfen lassen, ob das passende Sicherheitsupdate bereits installiert wurde.

Wichtig: Eine Versionsnummer allein beantwortet nicht jede Sicherheitsfrage. Auch ältere PHP-Versionen können betroffen sein. Für PHP 8.1 und älter stellt das PHP-Projekt selbst keine regulären Sicherheitsupdates mehr bereit. Einzelne Hosting-Anbieter oder Linux-Distributionen können jedoch eigene Sicherheitskorrekturen bereitstellen. Ob diese im konkreten Fall ausreichen, muss anhand des jeweiligen Systems geprüft werden.

PHP 8.2 erhält außerdem nur noch bis zum 31. Dezember 2026 reguläre Sicherheitsunterstützung. Wer diese Version einsetzt, sollte deshalb nicht nur das aktuelle Sicherheitsupdate berücksichtigen, sondern auch den Wechsel auf eine weiterhin unterstützte Version planen.

Ist meine Website betroffen?

Ob Ihre Website betroffen ist, hängt davon ab, welche PHP-Version auf dem Server läuft und wie die Website technisch betrieben wird.

Besonders wichtig ist die Prüfung bei Websites, die PHP für die Verarbeitung von Webanfragen einsetzen. Das gilt beispielsweise für viele CMS-Websites, individuelle PHP-Anwendungen und Onlineshops.

Sie nutzen ein CMS wie ProcessWire?

Auch Websites mit ProcessWire können betroffen sein, denn ProcessWire basiert auf PHP. Entscheidend ist dabei nicht allein die Version des CMS. Die PHP-Version auf dem Server muss ebenfalls berücksichtigt werden.

Zusätzlich sollten bei einer technischen Prüfung das CMS, eingesetzte Module und die Kompatibilität mit einer aktualisierten PHP-Version betrachtet werden. Ein PHP-Update allein ersetzt also keine umfassende Prüfung der Website.

Ihre Website wurde von einer Agentur oder Entwickler*in erstellt?

Auch dann lohnt sich ein Blick auf die technische Betreuung. Eine Website kann bei ihrer Veröffentlichung auf einer aktuellen PHP-Version gelaufen sein, während der Hosting-Anbieter oder die verantwortliche Person später keine Updates mehr durchgeführt hat.

Wenn Sie nicht wissen, welche PHP-Version eingesetzt wird oder wer für die technische Wartung zuständig ist, ist das kein Grund zur Sorge. Es ist aber ein guter Anlass, diese Fragen zu klären.

Ihre Website funktioniert ganz normal?

Das ist zunächst erfreulich, aber kein zuverlässiger Sicherheitsnachweis. Eine Website kann trotz einer verwundbaren PHP-Version problemlos funktionieren. Auch das Fehlen sichtbarer Auffälligkeiten bedeutet nicht automatisch, dass keine Sicherheitslücke besteht.

Was Sie jetzt tun können

Sie müssen nicht selbst programmieren können, um die wichtigsten Schritte einzuleiten.

1. Finden Sie heraus, welche PHP-Version Ihre Website verwendet.

Die PHP-Version lässt sich häufig im Kundenbereich Ihres Hosting-Anbieters einsehen oder einstellen. Je nach Hosting-Paket und Serverkonfiguration kann es allerdings Unterschiede geben. Wenn Sie unsicher sind, fragen Sie beim Hosting-Anbieter nach.

2. Prüfen Sie, ob ein Sicherheitsupdate verfügbar und installiert ist.

Vergleichen Sie die eingesetzte Version mit den offiziellen Sicherheitshinweisen von PHP. Bei verwalteten Hosting-Angeboten kann der Anbieter bestimmte Updates übernehmen. Verlassen Sie sich jedoch nicht allein darauf, sondern lassen Sie sich bei Bedarf bestätigen, welche Version tatsächlich aktiv ist.

3. Aktualisieren Sie PHP nicht unüberlegt.

Sicherheitsupdates sind wichtig. Ein Wechsel auf eine andere PHP-Haupt- oder Nebenversion kann aber dazu führen, dass ältere CMS-Versionen, Module oder individuelle Funktionen nicht mehr korrekt arbeiten.

Die Aktualisierung sollte deshalb zur bestehenden Website passen. Bei größeren Versionswechseln empfiehlt sich eine Prüfung der Kompatibilität und gegebenenfalls ein Test auf einer Staging-Umgebung.

4. Kontrollieren Sie auch CMS und Erweiterungen.

Eine sichere PHP-Version ist ein wichtiger Baustein, aber nicht die gesamte Website-Sicherheit. Halten Sie auch das CMS, verwendete Module und weitere Komponenten aktuell. Prüfen Sie außerdem, ob Backups vorhanden sind und sich im Notfall wiederherstellen lassen.

5. Klären Sie, wer für die technische Betreuung verantwortlich ist.

Wenn Sie eine Agentur, einen Freelancerin oder einen Hosting-Anbieter mit der Betreuung beauftragt haben, fragen Sie nach, ob die PHP-Version geprüft und das notwendige Sicherheitsupdate durchgeführt wurde. Wenn Sie die Website selbst betreiben, aber bei technischen Fragen Unterstützung brauchen, können Sie sich Hilfe holen.

Muss ich meine Website sofort offline nehmen?

Nicht jede Website muss allein aufgrund dieser Meldung sofort abgeschaltet werden. Die Situation sollte allerdings zeitnah bewertet werden.

Das PHP-Team empfiehlt, die bereitgestellten Sicherheitsupdates unverzüglich einzuspielen. Wenn eine unmittelbare Behebung nicht möglich ist, sollte geprüft werden, ob das betroffene System vorübergehend vom öffentlichen Netz getrennt werden muss.

Ob das im Einzelfall notwendig ist, hängt unter anderem von der eingesetzten PHP-Version, der Serverkonfiguration und den verfügbaren Möglichkeiten zur Absicherung ab.

Für eine normale Unternehmenswebsite ist deshalb ein sinnvoller erster Schritt, die PHP-Version zu ermitteln und die Aktualisierung mit dem Hosting-Anbieter oder der technischen Betreuung abzustimmen. Bei konkreten Hinweisen auf einen Angriff sollte zusätzlich geprüft werden, ob weitere Maßnahmen erforderlich sind.

Warum regelmäßige technische Wartung wichtig ist

Sicherheitslücken wie diese zeigen, dass eine Website nicht mit ihrer Veröffentlichung fertig ist. Auch wenn Design, Inhalte und Funktionen unverändert bleiben, entwickeln sich die technischen Anforderungen weiter.

Regelmäßige Wartung hilft dabei, Sicherheitsupdates im Blick zu behalten, veraltete Komponenten zu erkennen und technische Probleme frühzeitig anzugehen. Dazu gehören beispielsweise:

• die Prüfung der eingesetzten PHP-Version und verfügbarer Sicherheitsupdates

• die Durchführung notwendiger PHP-Aktualisierungen nach einer Kompatibilitätsprüfung

• die Prüfung von CMS und Erweiterungen auf erforderliche Updates

• die Kontrolle wichtiger technischer Funktionen nach Aktualisierungen

• die Abstimmung mit dem Hosting-Anbieter bei serverseitigen Problemen

Welche Leistungen sinnvoll sind, hängt von der jeweiligen Website und ihrer technischen Grundlage ab. Nicht jedes Projekt benötigt denselben Wartungsumfang. Wichtig ist, dass Zuständigkeiten klar geregelt sind und Sicherheitsupdates nicht dauerhaft liegen bleiben.

Technischer Wartungsservice für Ihre Website

Sie möchten wissen, ob Ihre Website ein PHP-Update benötigt? Sie möchten sich nicht selbst um PHP-Versionen, Sicherheitsmeldungen und technische Updates kümmern? Ich unterstütze Sie bei der technischen Betreuung Ihrer Website.

Im Rahmen meines technischen Wartungsservices prüfe ich unter anderem die eingesetzte PHP-Version, behalte notwendige Aktualisierungen im Blick und führe erforderliche Updates nach vorheriger Prüfung der technischen Voraussetzungen durch. Je nach Projekt können auch CMS- und Modulupdates sowie Funktionstests nach Aktualisierungen dazugehören.

Wenn Sie bereits eine Website betreiben, aber nicht wissen, ob sie technisch auf einem aktuellen Stand ist, können wir zunächst den konkreten Zustand Ihrer Website prüfen und den notwendigen Handlungsbedarf besprechen.

Fazit: Prüfen statt abwarten

Die aktuellen PHP-Sicherheitslücken sind ernst zu nehmen. Sie bedeuten aber nicht automatisch, dass jede PHP-Website kompromittiert wurde. Entscheidend ist, ob eine verwundbare Version eingesetzt wird und ob die erforderlichen Sicherheitskorrekturen installiert sind.

Wenn Sie nicht wissen, welche PHP-Version Ihre Website verwendet, klären Sie das zeitnah. Prüfen Sie anschließend, ob das passende Update installiert ist und ob weitere technische Aktualisierungen notwendig sind.

Mit einer gezielten Prüfung und einer verlässlichen technischen Betreuung lässt sich das Risiko reduzieren – und Sie können sich wieder auf Ihr eigentliches Geschäft konzentrieren.