WARNUNGKritische PHP-Sicherheitslücke · CVE-2026-109618 · CVE-2026-109619 · 21. Okt. 2026
<?doiusephp?>

Ist TYPO3 von der PHP-Sicherheitslücke betroffen?

Ja.

TYPO3 läuft mit PHP. Jede TYPO3-Website ist daher betroffen, bis ihre PHP-Version aktualisiert ist.

So finden Sie Ihre PHP-Version: die Übersicht „Environment“ im Backend (für System-Maintainer).

Prüfen Sie Ihre Website

Nicht sicher, ob Ihre Website mit TYPO3 läuft? Unser kostenloser Check sucht in wenigen Sekunden nach PHP.

ihrewebsite.dePrüfen →

Was Betreiber von TYPO3-Websites tun sollten

Wer betreut Ihre Website?

Wir zeigen Ihnen die passenden Schritte.

  1. 01

    Finden Sie heraus, wer Ihre Website betreut

    Meist ist das ein Hosting-Anbieter, ein Entwickler oder eine Agentur. So finden Sie es heraus:

    • suchen Sie in Rechnungen und Kontoauszügen nach einem Hosting-Anbieter oder einer Webagentur
    • durchsuchen Sie Ihre E-Mails nach „Hosting“, „Domain“ oder dem Namen dessen, der Ihre Website erstellt hat

    ERLEDIGT, WENNSie wissen, an wen Sie sich wenden.

  2. 02

    Senden Sie noch heute die Nachricht unten

    Die Nachricht erklärt, was zu tun ist: PHP auf eine abgesicherte Version aktualisieren. Bitten Sie um eine Antwort, sobald es erledigt ist.

    ERLEDIGT, WENNSie die Zusage haben, dass sich jemand darum kümmert.

  3. 03

    Lassen Sie sich bestätigen, dass alles behoben ist

    Bitten Sie um eine Bestätigung, dass Ihre Website jetzt eine abgesicherte PHP-Version (mindestens 8.2.35, 8.3.36, 8.4.27 oder 8.5.12, je nach eingesetzter Version) nutzt. Fragen Sie auch nach anderen Websites oder Systemen, die für Sie betrieben werden.

    ERLEDIGT, WENNSie diese Bestätigung schriftlich haben.

  4. 04

    Prüfen Sie, ob Ihre Website noch funktioniert

    Öffnen Sie Ihre Startseite und testen Sie Kontaktformular, Login und Bestellvorgang. Funktioniert nach dem Wechsel auf eine neuere PHP-Version etwas nicht mehr, aktualisieren Sie TYPO3 samt Extensions oder fragen Sie Ihren Entwickler.

    ERLEDIGT, WENNIhre wichtigen Seiten wie gewohnt funktionieren.

  5. 05

    Falls es heute nicht klappt

    Bitten Sie Ihren Hosting-Anbieter oder Entwickler, die vorübergehenden Schutzmaßnahmen des PHP-Projekts umzusetzen, bis das Sicherheitsupdate installiert ist. Sie stehen unten im Abschnitt für Entwickler. Geht auch das nicht bald, sollten Sie laut BSI erwägen, die Website vorübergehend vom Netz zu nehmen. Ihr Hosting-Anbieter kann so lange eine Wartungsseite anzeigen.

  6. 06

    Lassen Sie prüfen, ob Ihre Website gehackt wurde

    Bitten Sie Ihren Hosting-Anbieter oder Entwickler darum, vor allem wenn das Update länger als einen Tag gedauert hat. Anzeichen, die Sie selbst erkennen können:

    • Admin-Konten, die Sie nicht kennen
    • Seiten, Links oder Dateien, die Sie nicht angelegt haben
    • Besucher werden auf andere Websites umgeleitet
    • ein Hinweis bei Google wie „Diese Website wurde möglicherweise gehackt“

    ERLEDIGT, WENNdie Prüfung nichts ergeben hat oder alles bereinigt ist.

Senden Sie diese Nachricht an Ihren Hosting-Anbieter oder Entwickler

Kopieren Sie sie in eine E-Mail oder ein Support-Ticket.

Betreff: Dringend: kritische PHP-Sicherheitslücke (CVE-2026-109618 / CVE-2026-109619)

Guten Tag,

am 21. Oktober 2026 wurde eine kritische Sicherheitslücke in PHP veröffentlicht (CVE-2026-109618 und CVE-2026-109619). Angreifer können darüber ohne Anmeldung einen Webserver übernehmen. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) rät, unverzüglich zu handeln:
https://www.bsi.bund.de/SharedDocs/Cybersicherheitswarnungen/DE/2026/2026-297981-1032.pdf?__blob=publicationFile&v=3

Unsere Website läuft mit TYPO3 und nutzt damit PHP. Ich bitte Sie daher um Folgendes:

1. Teilen Sie mir mit, welche PHP-Version unsere Website und alle anderen Systeme, die Sie für uns betreuen, nutzen.
2. Aktualisieren Sie auf eine abgesicherte PHP-Version (8.5.12, 8.4.27, 8.3.36, 8.2.35 oder neuer). Falls eine neuere PHP-Version nötig ist, aktualisieren Sie bitte zuerst TYPO3 samt Extensions.
3. Falls ein Update nicht sofort möglich ist, setzen Sie die vorübergehenden Schutzmaßnahmen des PHP-Projekts um (https://www.php.net/) oder nehmen Sie die Website bis zur Behebung vom Netz.
4. Prüfen Sie den Server auf Anzeichen eines Angriffs.

Bitte geben Sie mir Bescheid, sobald das erledigt ist.

Vielen Dank und freundliche Grüße
Für Ihren Entwickler oder Hosting-Anbieter: Schritt für Schritt+
  1. 1.

    Jede PHP-Installation finden, die Websites ausliefert

    Prüfen Sie das PHP, das der Webserver nutzt, nicht nur das auf der Kommandozeile: php -v im Terminal kann eine andere Version zeigen. Berücksichtigen Sie jede Art, wie PHP hinter einer Website läuft (PHP-FPM hinter Nginx oder Apache, das in Apache integrierte mod_php, LiteSpeed, FrankenPHP), und vergessen Sie Container, Staging-Websites und weitere Server nicht.

  2. 2.

    Auf eine abgesicherte Version aktualisieren

    Abgesichert in 8.5.12, 8.4.27, 8.3.36 und 8.2.35 (je eine pro unterstützter Version). Nutzen Sie die Pakete Ihres Betriebssystems, ein neueres Container-Base-Image oder Ihr Hosting-Panel. PHP 8.1 und älter erhalten keine Updates mehr: Wechseln Sie auf eine unterstützte Version.

  3. 3.

    PHP neu starten

    Starten Sie PHP-FPM, Apache oder LiteSpeed nach dem Update neu. Bereits laufende Prozesse behalten den alten, verwundbaren Code, bis sie neu starten.

  4. 4.

    Prüfen, ob das Update wirklich aktiv ist

    Prüfen Sie die Version, mit der die Website selbst läuft, zum Beispiel mit einer vorübergehenden phpinfo()-Seite, die Sie danach wieder entfernen. Manche Linux-Distributionen beheben Sicherheitslücken, ohne die Versionsnummer zu ändern. Prüfen Sie in diesem Fall, ob das Changelog des Pakets CVE-2026-109618 und CVE-2026-109619 erwähnt.

  5. 5.

    Noch kein Update möglich? Vorübergehende Schutzmaßnahmen umsetzen

    php.net nennt vorübergehende Schutzmaßnahmen, die das Risiko bis zum Update verringern. Dazu gehören: memory_limit=-1 in der Serverkonfiguration setzen, sodass Skripte es nicht ändern können (das verhindert die Out-of-Memory-Situation, auf die der Angriff angewiesen ist; behalten Sie den Speicherverbrauch im Blick), die Limits für Anfrage- und Upload-Größen senken und session.upload_progress.enabled=0 setzen. Starten Sie PHP danach neu. Diese Maßnahmen verringern das Risiko, ersetzen das Update aber nicht.

  6. 6.

    Auf Anzeichen eines Angriffs prüfen

    Suchen Sie nach PHP-Dateien, die seit dem 21. Oktober 2026 hinzugefügt oder geändert wurden, nach Admin-Konten, die niemand kennt, nach neuen geplanten Aufgaben (Cronjobs), unerwarteten Prozessen oder ausgehenden Verbindungen und nach Out-of-Memory-Fehlern in den PHP-Logs. Wirkt etwas verdächtig: Spielen Sie ein sauberes Backup ein, ändern Sie alle Passwörter und Schlüssel (auch die Datenbank-Passwörter) und informieren Sie den Website-Betreiber.

  7. 7.

    Danach: PHP-Version nicht mehr preisgeben

    Setzen Sie expose_php = Off, damit Antworten keinen X-Powered-By: PHP/…-Header mehr enthalten, der Angreifern Ihre Version verrät.

Schweregrad: 9,2 von 10 (CVSS 4.0). CVE-2026-109618 (Remote Code Execution durch Speicherkorruption bei Out-of-Memory) · CVE-2026-109619 (Remote Code Execution durch veralteten globalen Zustand)

Gut zu wissen

  • System-Maintainer sehen die PHP-Version im Backend in der Übersicht „Environment“ (in TYPO3 14 unter „System“). Quelle ↗
  • TYPO3 14 läuft mit PHP 8.2 bis 8.5. Klären Sie mit Ihrem Entwickler, welche PHP-Versionen Ihre TYPO3-Version unterstützt, bevor Sie auf eine neuere wechseln. Quelle ↗

Fragen & Antworten

Behebt ein TYPO3-Update die PHP-Sicherheitslücke?

Die Lücke steckt in PHP selbst, auf dem Ihre Website-Software läuft. Die Software und ihre Erweiterungen aktuell zu halten ist sinnvoll, schließt diese Lücke aber nicht: Auch PHP muss aktualisiert werden.

Wie sehe ich, welche PHP-Version meine TYPO3-Website nutzt?

System-Maintainer können im Backend die Übersicht „Environment“ öffnen. Andernfalls fragen Sie Ihren Entwickler oder Ihre Agentur.

Wer aktualisiert PHP für meine TYPO3-Website?

Ihr Hosting-Anbieter oder die Agentur, die Ihre Website betreut. TYPO3-Websites werden meist von Agenturen betreut.

Mehr: So prüfen Sie, ob Ihre Website PHP nutzt · Die PHP-Sicherheitslücke vom Oktober 2026 erklärt

Andere Plattformen: WordPress · WooCommerce · Joomla · Drupal · Magento · PrestaShop · Shopify · Wix · Squarespace

QUELLEN