Sicherheitslücken in PHP: Was Website-Betreiber jetzt wissen müssen

Am 21. Oktober 2026 wurden zwei schwerwiegende Sicherheitslücken in der weitverbreiteten Programmiersprache PHP bekannt. Zahlreiche Websites und Webhosting-Anbieter sind davon betroffen. Die Sicherheitslücken ermöglichen es Angreifern unter bestimmten Voraussetzungen, Schadcode auf Webservern auszuführen – auch ohne vorherige Anmeldung.

Zahlreiche Websites und Hosting-Anbieter betroffen

PHP bildet die technische Grundlage vieler Websites und Content-Management-Systeme wie WordPress, Joomla oder MODX. Die Schwachstellen betreffen nicht einzelne Website-Systeme, sondern die zugrunde liegende PHP-Software.

Die Sicherheitslücken mit den Bezeichnungen CVE-2026-109618 und CVE-2026-109619 wurden als kritisch eingestuft. Zahlreiche Hosting-Anbieter reagierten umgehend mit zusätzlichen Schutzmaßnahmen und Sicherheitsupdates. Dabei kam es teilweise auch zu vorübergehenden Einschränkungen bei der Erreichbarkeit von Verwaltungsoberflächen und anderen Diensten.

Sicherheitsupdates bereits veröffentlicht

Das PHP-Entwicklerteam hat am 21. Oktober entsprechende Sicherheitsupdates bereitgestellt. Die beiden Schwachstellen wurden mit folgenden Versionen behoben:

• PHP 8.2.35
• PHP 8.3.36
• PHP 8.4.27
• PHP 8.5.12

Ältere PHP-Versionen wie PHP 7.4, 8.0 oder 8.1 werden vom offiziellen PHP-Projekt nicht mehr unterstützt. Hier können gegebenenfalls spezielle Sicherheitskorrekturen des Hosting-Anbieters zum Einsatz kommen. Langfristig empfiehlt sich jedoch der Umstieg auf eine unterstützte PHP-Version.

Was sollten Website-Betreiber jetzt tun?

Wer eine Website betreibt, sollte zeitnah überprüfen, welche PHP-Version auf dem Webserver zum Einsatz kommt und ob das entsprechende Sicherheitsupdate bereits installiert wurde.

Bei klassischen Webhosting-Paketen werden PHP-Sicherheitsupdates häufig direkt vom Hosting-Anbieter eingespielt. Dennoch empfiehlt es sich, den tatsächlichen Versionsstand zu überprüfen.

Wichtig ist außerdem, dass auch das verwendete Content-Management-System sowie installierte Erweiterungen regelmäßig aktualisiert werden. Ein aktueller PHP-Stand allein gewährleistet noch keine umfassende Sicherheit der Website.

SIGNALSTARK unterstützt bei der Überprüfung

Als Agentur für Webdesign, Webentwicklung und Online-Marketing beschäftigen wir uns regelmäßig mit der technischen Wartung und Sicherheit von Websites.

Auch die aktuelle Situation zeigt, wie wichtig eine kontinuierliche technische Betreuung und regelmäßige Softwareupdates sind.

Sie sind unsicher, ob Ihre Website betroffen ist?

Wir unterstützen Sie gerne bei der Überprüfung Ihrer PHP-Version, der technischen Kompatibilität und gegebenenfalls notwendigen Aktualisierungen.

Kontaktieren Sie uns – wir beraten Sie gerne.

Quelle: Offizielle Sicherheitsmeldung des PHP-Entwicklerteams vom 21. Oktober 2026