PHP-Sicherheitslücke: Was dein Betrieb jetzt tun muss

Stell dir vor, es ist Mittwochmorgen in Wardenburg. Du stehst in der Werkstatt, das Telefon klingelt und die Auftragsliste ist lang. Nebenbei liest du etwas von „kritischen PHP-Lücken“ und „Schadcode aus der Ferne“. Deine Website läuft mit WordPress. Jemand hat sie vor ein paar Jahren eingerichtet, seitdem läuft sie einfach. Was PHP genau ist, musstest du nie wissen.

Jetzt fragst du dich, ob du heute noch etwas tun musst. Oder ob das nur große Firmen betrifft. Diese Frage beantworte ich hier. Du erfährst, was wirklich bekannt ist und was nur Gerücht ist. Du erfährst, wer bei dir zuständig ist. Und du lernst, wie du in fünf Minuten herausfindest, ob deine Seite betroffen ist. Der Artikel funktioniert auch später noch als Anleitung, wenn das nächste PHP-Sicherheitsupdate kommt.

Was ist passiert und warum betrifft es auch deine Website?

Am Abend des 20. Oktober 2026 hat das PHP-Sicherheitsteam ein außerplanmäßiges Update angekündigt. Es soll zwei kritische Schwachstellen schließen. Beide hat das PHP-Team mit 9,2 von 10 Punkten auf der CVSS-Skala bewertet. Das ist die höchste Kategorie „kritisch“. Das Update war für Mittwoch, den 21. Oktober 2026, um 16:00 Uhr deutscher Zeit angekündigt (Ankündigung auf php.net).

Ungewöhnlich ist, wie es dazu kam. Laut Sansec tauchte am 20. Oktober 2026 um 15:20 UTC ein erster Beitrag mit Details auf Hacker News auf, bevor ein Patch fertig war. Um 16:39 UTC schrieb der Sicherheitsforscher Kevin Beaumont: „Somebody has leaked CVE-2026-109618 and CVE-2026-109619 in PHP before the patch is out.“ Laut Huntress hat das PHP-Team den Termin daraufhin um einen Tag vorgezogen, vom 22. auf den 21. Oktober. Es behält sich vor, noch früher zu veröffentlichen, wenn aktive Angriffe auftauchen. Das Cyber-Notfallteam der EU-Institutionen (CERT-EU) führt die Lücken unter den Nummern CVE-2026-109618 und CVE-2026-109619. CERT-EU schreibt, die CVSS-Werte von 9,2 „indicate the potential for unauthenticated remote code execution“. Gemeint ist: Angreifer könnten ohne Anmeldung Code auf dem Server ausführen (CERT-EU Advisory 2026-018). Die Sicherheitsfirma watchTowr hat gegenüber BleepingComputer bestätigt, dass es sich um Lücken zur Codeausführung aus der Ferne handelt. In Sicherheitskreisen laufen sie unter dem Namen „PHP2Shell“. Der Name stammt nicht vom PHP-Team.

Warum betrifft das dich? PHP ist die Programmiersprache, auf der WordPress, TYPO3, Contao und Shopware laufen. Die Lücke steckt in PHP selbst. Sie wird ausgelöst, bevor deine Website-Software überhaupt startet. Deshalb hilft es nicht, WordPress oder Plugins zu aktualisieren. Das Update muss auf dem Server passieren.

Was kann im schlimmsten Fall passieren? Ein Angreifer könnte Dateien auf deinem Webspace verändern. Er könnte Spam-Seiten unterschieben, Besucher auf fremde Seiten umleiten oder Daten aus Kontaktformularen mitlesen. Google warnt dann womöglich vor deiner Seite. Das ist ärgerlich und kostet Zeit. Es ist aber kein Grund, die Werkstatt zuzusperren. Entscheidend ist, dass das Update zeitnah eingespielt wird. Das Sansec Forensics Team erwartet laut seiner Analyse vom 21. Oktober 2026 Massenangriffe „within 15 minutes of the release“, also innerhalb von 15 Minuten nach Veröffentlichung des Patches.

Was ist bestätigt und was nur Gerücht?

Bei vorzeitig durchgesickerten Lücken kursieren viele Zahlen. Ich trenne hier sauber, damit du weißt, worauf du dich verlassen kannst.

Gibt es schon Angriffe? Stand Mittwochvormittag lagen laut Deutschland sicher im Netz keine bestätigten Berichte über Angriffe vor. Auch die Sicherheitsfirma Huntress schrieb am 21. Oktober 2026, sie habe keine Ausnutzung „in the wild“ beobachtet. Es kursiert Exploit-Code im Netz. heise berichtet, dass sich ein solcher Code im Labor nicht nachstellen ließ und nur auf eine bestimmte Serverumgebung (LiteSpeed) zielt. Einzelne Fachseiten melden zwar erste Angriffe. Diese Berichte nennen aber keine überprüfbaren Quellen. Ich gehe deshalb davon aus, dass es nach dem Update schnell funktionierende Angriffswerkzeuge geben wird. Das ist bei solchen Lücken der übliche Ablauf.

Welche PHP-Versionen bekommen ein Update?

Das PHP-Projekt pflegt immer nur wenige Versionen gleichzeitig. Derzeit sind das laut php.net die Zweige 8.2, 8.3, 8.4 und 8.5. Nur diese bekommen das offizielle Update.

1. PHP 8.5 und 8.4: voll unterstützt, Update angekündigt.
2. PHP 8.3: nur noch Sicherheitsupdates bis 31.12.2027, Update angekündigt.
3. PHP 8.2: nur noch Sicherheitsupdates bis 31.12.2026, Update angekündigt. Danach ist auch hier Schluss.
4. PHP 8.1 und älter: kein Support mehr, kein offizieller Fix.

Wichtig für alle, die auf PHP 8.2 sind: Du bekommst dieses Update noch. Ende Dezember 2026 läuft der Support aber aus. Wenn ohnehin ein Versionswechsel ansteht, ist jetzt ein guter Zeitpunkt, ihn mit einzuplanen.

Wer muss handeln: du oder dein Hoster?

Das ist die wichtigste Frage für dich. Die Antwort hängt davon ab, wie deine Website gehostet ist.

Shared Hosting und verwaltete Pakete: Das ist bei den meisten kleinen Betrieben der Fall. Du hast ein Paket bei einem Anbieter wie IONOS, Strato, all-inkl, netcup oder Mittwald gebucht und teilst dir den Server mit anderen Kunden. Hier spielt der Hoster das PHP-Update ein. Du kannst es gar nicht selbst tun. Deine Aufgabe ist, die PHP-Version zu prüfen und nachzufragen, wann das Update kommt.

Eigener vServer oder Root-Server: Hast du einen virtuellen Server, etwa bei Hetzner oder netcup, und verwaltest ihn selbst oder lässt ihn betreuen? Dann ist der Hoster nur für die Hardware zuständig. Das PHP-Update muss jemand auf deinem Server einspielen und PHP danach neu starten. Wenn du nicht weißt, wer das bei dir macht, ist das genau jetzt zu klären.

Server mit Plesk: Plesk hat im eigenen Forum am 21.10.2026 angekündigt, gepatchte PHP-Versionen nach dem PHP-Release in seine Pakete zu übernehmen. Einen genauen Termin nannte Plesk zu diesem Zeitpunkt nicht.

Haben die großen deutschen Hoster schon reagiert? Stand Mittwochvormittag habe ich von IONOS, Strato, all-inkl, Hetzner, netcup und Mittwald keine offizielle öffentliche Stellungnahme mit Termin gefunden. Das heißt nicht, dass sie untätig sind. Große Hoster spielen solche Updates oft ohne Ankündigung ein. Du solltest dich trotzdem nicht darauf verlassen, sondern kurz nachfragen.

Eine kurze Mail an den Support genügt. Zum Beispiel: „Welche PHP-Version läuft auf meinem Paket? Wann spielt ihr das PHP-Sicherheitsupdate vom 21. Oktober 2026 ein?“ Wenn die Antwort lautet, dass dein Paket noch auf PHP 8.1 oder älter läuft, frag direkt nach einem Wechsel auf 8.3 oder 8.4.

Wie prüfst du deine PHP-Version in fünf Minuten?

Du brauchst dafür kein Technikwissen. Es gibt zwei einfache Wege.

Weg 1: In WordPress. Melde dich im Dashboard an. Klicke links auf „Werkzeuge“ und dann auf „Website-Zustand“. Oben wählst du den Reiter „Bericht“. Klappe den Abschnitt „Server“ auf. Dort steht die PHP-Version, zum Beispiel „8.3.35“.

Weg 2: Im Kundenbereich deines Hosters. Melde dich beim Hoster an. Suche in den Einstellungen deines Webspace oder deiner Domain nach „PHP“ oder „PHP-Version“. Bei den meisten Anbietern siehst du dort die aktuelle Version und kannst sie teilweise selbst umstellen. Für TYPO3, Contao und Shopware ist das meist der schnellste Weg.

Notiere dir die Nummer. Die ersten beiden Stellen sagen dir den Zweig, also etwa 8.3. Die letzte Stelle sagt dir den Stand. Nach dem Update sollte bei 8.3 zum Beispiel eine höhere Endziffer als 35 stehen. Bei Linux-Servern mit Paketen der Distribution kann die Nummer abweichen. Dann gibt die Sicherheitsmeldung der Distribution Auskunft.

Ein Hinweis: Im Netz kursieren Anleitungen, mit denen man bestimmte PHP-Einstellungen selbst abschalten soll. Die Wirksamkeit ist umstritten. Wenn du kein Server-Profi bist, lass die Finger davon. Du riskierst eine kaputte Website und gewinnst wenig Sicherheit.

Was bedeutet das für einen Handwerksbetrieb in Wardenburg?

Nehmen wir einen typischen Betrieb aus dem Landkreis Oldenburg. Eine Tischlerei oder ein Heizungsbauer mit einer WordPress-Website, Kontaktformular, Referenzbildern und vielleicht einer Online-Terminanfrage. Gehostet bei einem großen deutschen Anbieter im Shared Hosting.

Für diesen Betrieb sieht der Tag so aus: Heute die PHP-Version prüfen. Eine kurze Mail an den Hoster schicken. In den nächsten Tagen kontrollieren, ob die Versionsnummer gestiegen ist. Das sind zusammen vielleicht 15 Minuten. Mehr ist im Normalfall nicht nötig.

Anders sieht es aus, wenn die Website auf PHP 7.4 oder 8.1 läuft. Dann ist die Seite auch nach dem Update angreifbar. Hier lohnt es sich, den Umstieg zeitnah anzugehen. Oft ist dafür auch ein Update von Theme und Plugins nötig, damit nichts kaputtgeht. Wie Website-Pflege für Betriebe wie deinen aussehen kann, findest du auf meiner Seite zu Websites für Handwerksbetriebe. Für Arztpraxen und Therapiepraxen mit Online-Formularen gilt dasselbe. Dort kommen sensible Daten dazu, mehr dazu auf der Seite zu Websites für Praxen.

Ein zweiter Punkt betrifft die Website-Software selbst. Ein aktuelles WordPress, TYPO3 oder Contao schützt nicht vor einer Lücke in PHP. Umgekehrt nützt ein aktuelles PHP wenig, wenn das CMS seit Jahren keine Updates bekommen hat. Welche CMS-Versionen 2026 auslaufen, steht im Überblick zum CMS-Lebenszyklus 2026 für Contao 4, TYPO3 v12 und WordPress 6.6.

Falls du merkst, dass bei dir niemand richtig zuständig ist, lohnt sich ein Blick auf die Umsetzung. Ein Versionswechsel braucht meist einen Test und ein, zwei Anpassungen. Das lässt sich in Ruhe planen.

Was tun bei künftigen PHP-Sicherheitsupdates?

PHP-Sicherheitsupdates kommen regelmäßig, meist mehrmals im Jahr. Kritische Fälle wie dieser sind seltener. Mit diesen fünf Punkten bist du beim nächsten Mal vorbereitet.

• Du kennst deine PHP-Version und prüfst sie zweimal im Jahr.
• Du weißt, wer für Server-Updates zuständig ist: der Hoster, du selbst oder ein Betreuer.
• Deine Website läuft auf einer PHP-Version mit offiziellem Support.
• Es gibt eine aktuelle Sicherung von Dateien und Datenbank, die nicht auf demselben Server liegt.
• Du weißt, an wen du dich wendest, wenn die Seite nach einem Update nicht mehr richtig läuft.

Wenn du diese Punkte geklärt hast, ist eine Meldung wie die vom Oktober 2026 kein Grund für einen hektischen Tag. Du schaust auf die Version, schreibst eine Mail und erledigst den Rest im Alltag.

Fazit: Heute prüfen, morgen ruhiger schlafen

Die PHP-Lücken vom Oktober 2026 sind ernst, weil sie fast jede Website mit WordPress, TYPO3, Contao oder Shopware betreffen. Für die meisten kleinen Betriebe ist die Lösung trotzdem überschaubar. Du prüfst deine PHP-Version, fragst beim Hoster nach und kontrollierst in den nächsten Tagen, ob das Update angekommen ist. Wer einen eigenen Server betreibt, spielt das Update selbst ein oder lässt es einspielen. Wer noch auf PHP 8.1 oder älter läuft, plant den Umstieg jetzt und schiebt ihn nicht ins nächste Jahr. Wenn du dabei Unterstützung brauchst, kläre ich Wartung und Notfallhilfe nach Absprache mit dir.

Wenn du nicht sicher bist, wie es um deine Website steht, schau dir den kostenlosen Website-Check an. Dort prüfe ich in Ruhe, wo du stehst.