Am 21. Oktober 2026 hat das PHP-Projekt außerplanmäßige Sicherheitsupdates veröffentlicht, und das BSI hat am selben Tag mit deutlichen Worten gewarnt: Sicherheitsupdate „noch heute notwendig“. Die aktuelle PHP-Sicherheitslücke betrifft keine exotische Software, sondern die Programmiersprache, auf der ein großer Teil aller Websites läuft, darunter WordPress, Shopware, Joomla und unzählige Eigenentwicklungen. Seit der Warnung klingelt bei uns das Telefon. Hier die Antworten auf die Fragen, die wir am häufigsten hören.
Was ist passiert?
In PHP wurden zwei kritische Schwachstellen gefunden, die unter der Kennung CVE-2026-109618 und CVE-2026-109619 geführt werden. Beide erlauben nach Angaben des PHP-Projekts, dass Angreifer ohne Anmeldung eigenen Code auf dem Webserver ausführen. Die Bewertung liegt jeweils bei 9,2 von 10 Punkten (CVSS 4.0). In Fachkreisen hat sich für die beiden Lücken der Name „PHP2Shell“ eingebürgert.
Das BSI führt die Lücken in seinem Sicherheitshinweis vom 22. Oktober mit der Kritikalität „sehr hoch“. Laut BSI waren bis dahin keine erfolgreichen Angriffe auf die Bundesverwaltung bekannt. Ausnutzungsversuche im Netz wurden aber schon beobachtet, und genau deshalb drängt die Zeit.
Bin ich betroffen? Die kurze Antwort
Wenn Ihre Website mit PHP läuft, sehr wahrscheinlich ja, und zwar unabhängig davon, ob Sie WordPress, ein Shopsystem oder ein eigenes Programm nutzen. Entscheidend ist nicht die Anwendung, sondern die PHP-Version auf dem Server.
| PHP-Version | Stand nach dem 21.10.2026 | Was zu tun ist |
|---|---|---|
| 8.5 | behoben ab 8.5.12 | Update einspielen |
| 8.4 | behoben ab 8.4.27 | Update einspielen |
| 8.3 | behoben ab 8.3.36 | Update einspielen |
| 8.2 | behoben ab 8.2.35 | Update einspielen, Wechsel planen: Support endet am 31.12.2026 |
| 8.1, 8.0, 7.4 und älter | keine offiziellen Updates mehr, nur Quellcode-Korrekturen für Fachleute | beim Hoster nachfragen, so schnell wie möglich auf 8.4 oder 8.5 wechseln |
Ein wichtiger Punkt, den viele übersehen: Ein Update von WordPress, Theme oder Plugins schließt diese Lücke nicht. Die Website kann topaktuell sein und trotzdem auf einem verwundbaren PHP laufen.
Was Website-Betreiber jetzt tun sollten
1. PHP-Version herausfinden
Bei WordPress finden Sie die Version unter „Werkzeuge“ und „Website-Zustand“ im Reiter „Bericht“. Im Kundenmenü der meisten Hoster steht sie bei den Einstellungen der Domain. Wer einen eigenen Server betreibt, prüft mit php -v auf der Kommandozeile und zusätzlich, welche Version der Webserver tatsächlich verwendet, denn das kann eine andere sein.
2. Hoster fragen
Bei Shared Hosting spielt in der Regel der Anbieter die Updates ein. Viele große Hoster haben das nach eigenen Angaben schon erledigt. Fragen Sie trotzdem schriftlich nach, ob die PHP-Version Ihres Pakets gepatcht ist, vor allem, wenn Sie eine ältere Version wie 7.4 oder 8.1 nutzen. Einige Linux-Distributionen und Hoster liefern auch für ältere Versionen eigene Korrekturen aus. Das sollten Sie sich aber bestätigen lassen und nicht einfach annehmen.
3. Eigene Server patchen
Wer einen virtuellen oder dedizierten Server betreibt, ist selbst verantwortlich. PHP-Pakete aktualisieren, danach PHP-FPM bzw. den Webserver neu starten, sonst läuft der alte Code im Speicher weiter. Bis das Update eingespielt ist, empfiehlt das PHP-Projekt als Notlösung unter anderem, die Einstellung session.upload_progress.enabled in der php.ini oder im FPM-Pool auf 0 zu setzen und alle PHP-Prozesse neu zu starten. Eine Notlösung ersetzt das Update aber nicht.
4. Alte PHP-Versionen ablösen
Wer noch PHP 7.4 oder 8.0 nutzt, hat jetzt einen sehr guten Grund für den Wechsel. Der Umstieg auf 8.4 oder 8.5 ist bei gepflegten Websites oft unspektakulär. Bei älteren Seiten mit verwaisten Plugins oder selbst geschriebenen Erweiterungen kann es dagegen haken. Unser Tipp: erst eine Kopie der Website auf der neuen Version testen, dann umstellen. Und wenn die Seite unter der neuen Version nicht läuft, ist das ein Warnsignal, dass dort ohnehin Altlasten schlummern.
5. Auf Spuren prüfen
Weil Angriffe schon vor der Veröffentlichung der Updates beobachtet wurden, lohnt ein Blick auf verdächtige Veränderungen:
- neue oder geänderte PHP-Dateien seit Mitte Oktober, besonders in Upload-Ordnern
- unbekannte Administrator-Konten in WordPress oder im Shop
- neue geplante Aufgaben (Cronjobs) auf dem Server
- auffällige Einträge im Zugriffsprotokoll oder plötzliche Weiterleitungen auf fremde Seiten
Gibt es Auffälligkeiten, sollten Sie die Zugangsdaten erneuern, also Datenbank-Passwort, FTP- und SSH-Zugänge, API-Schlüssel und bei WordPress die Sicherheitsschlüssel in der wp-config.php. Und bitte: nicht einfach löschen und weitermachen, sondern Beweise sichern und den Fall sauber aufarbeiten.
Muss ich meine Website vom Netz nehmen?
Nur, wenn Sie die PHP-Version nicht zeitnah aktualisieren können und Ihr Hoster keine Korrektur eingespielt hat. Eine Website, die ein paar Stunden offline ist, ist ärgerlich. Ein gehackter Webserver, über den Schadsoftware verteilt oder Kundendaten abgegriffen werden, ist deutlich teurer, und je nach Fall kommen Meldepflichten nach der DSGVO hinzu.
Was wir aus dem Fall lernen
Die Lücke steckt nach Angaben der Entdecker seit vielen Jahren im Code. Das zeigt, wie wichtig ein geregelter Pflegeprozess ist: Wer weiß, welche Websites auf welchem Server mit welcher PHP-Version laufen, kann in so einer Lage in einer Stunde handeln statt in einer Woche. Unsere Checkliste für die Zeit danach:
- Liste aller Websites, Server und PHP-Versionen anlegen und aktuell halten
- Verantwortlichen für Updates benennen, auch für Server und Hosting, nicht nur für WordPress
- Warnmeldungen des BSI oder des Hosters abonnieren
- Regelmäßige Datensicherung der Website, getrennt vom Webserver
- Veraltete PHP-Versionen und verwaiste Plugins konsequent ablösen
Wir helfen Ihnen gerne
Sie wissen nicht, auf welcher PHP-Version Ihre Website läuft, oder Ihre Seite macht nach dem Update Probleme? Das IT-Team der Mittelstandsoptimierer prüft Ihre Websites und Server, spielt die Updates ein, stellt alte Seiten auf eine aktuelle PHP-Version um und schaut nach, ob es Spuren eines Angriffs gibt. Rufen Sie uns an unter 06131 144928-0.
Herzliche Grüße aus Mainz