Die PHP-Sicherheitslücke vom Oktober 2026 erklärt

Was ist passiert?

In PHP selbst wurden zwei Schwachstellen gefunden (CVE-2026-109618 und CVE-2026-109619). Mit einer speziell präparierten Anfrage kann ein Angreifer den Server einer Website dazu bringen, eigenen Code auszuführen – ohne sich anzumelden. In der Praxis kann das bedeuten, dass er den Server übernimmt: die Website verändert, Daten stiehlt oder den Server für Angriffe auf andere nutzt.

Wer ist betroffen?

• Jede Website, die mit PHP läuft, egal mit welcher PHP-Version, bis sie auf eine abgesicherte Version aktualisiert ist. Dazu gehören die meisten Websites mit WordPress, Joomla, Drupal, Magento und PrestaShop.
• Nicht Ihre Website selbst, wenn sie mit einem gehosteten Baukasten ohne PHP erstellt ist, etwa Shopify, Wix oder Squarespace. Andere Systeme, die Sie nutzen, können trotzdem betroffen sein.
• Auch andere Software: Manche Geräte, Intranets und Geschäftsanwendungen enthalten PHP. Das niederländische NCSC führt eine Liste betroffener Produkte.

Unsicher, wie es bei Ihrer Website aussieht? So prüfen Sie es, oder starten Sie unseren kostenlosen Check.

Was jetzt zu tun ist

Das britische NCSC empfiehlt, in dieser Reihenfolge:

1. PHP aktualisieren auf eine abgesicherte Version. Das übernimmt meist Ihr Hosting-Anbieter, Entwickler oder Ihre Agentur.
2. Falls das noch nicht geht, die vorübergehenden Schutzmaßnahmen des PHP-Projekts umsetzen.
3. Falls beides nicht möglich ist, erwägen, die Website bis zur Behebung vom Netz zu nehmen.
4. Auf Anzeichen eines Angriffs prüfen, vor allem wenn das Update länger gedauert hat.
5. Auf Updates achten von den Herstellern anderer Software und Geräte, die Sie nutzen.

Welche PHP-Versionen abgesichert sind

• PHP 8.5: abgesichert ab 8.5.12
• PHP 8.4: abgesichert ab 8.4.27
• PHP 8.3: abgesichert ab 8.3.36
• PHP 8.2: abgesichert ab 8.2.35

PHP 8.1 und älter erhalten überhaupt keine Sicherheitsupdates mehr. Websites mit diesen Versionen müssen auf eine unterstützte Version wechseln. Das erfordert mehr Tests als ein normales Update. Fangen Sie deshalb noch heute an.

Für Entwickler

Alle Arten, PHP für Websites zu betreiben, sind betroffen (PHP-FPM, mod_php, php-cgi, FrankenPHP, LiteSpeed); bei mod_php ist das Risiko am höchsten. Wenn Sie nicht sofort patchen können: php.net nennt vorübergehende Schutzmaßnahmen, darunter memory_limit=-1 serverseitig fest vorzugeben, Limits für Anfragen und Multipart-Daten zu verschärfen und session.upload_progress.enabled=0 zu setzen. Sie verringern das Risiko, ersetzen das Update aber nicht.