Kritisches PHP-Sicherheitsupdate: Was es für Ihre Website bedeutet
Am 21. Oktober 2026 hat das PHP-Team ein außerplanmäßiges Sicherheitsupdate veröffentlicht. Es schließt zwei Lücken mit den Kennungen CVE-2026-109618 und CVE-2026-109619. Beide sind mit 9,2 von 10 Punkten als kritisch eingestuft. Angreifer können darüber im schlimmsten Fall einen Server vollständig übernehmen. Da Details bereits vorab bekannt wurden, ist mit schnellen Angriffen auf ungepatchte Server zu rechnen.
Warum betrifft das so viele Websites?
PHP ist keine Software, die man auf einer Website sieht. Es ist die technische Basis darunter. Zahlreiche Content-Management-Systeme und Shops bauen darauf auf, darunter WordPress, Shopware, TYPO3, Contao und viele weitere Systeme.
Eine Lücke in PHP betrifft deshalb nicht ein einzelnes Plugin oder ein einzelnes System. Sie betrifft alle Anwendungen, die auf einer ungepatchten PHP-Version laufen. Genau das macht dieses Update so dringlich. Abgesichert sind die Versionen PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35.
Was wir jetzt für Sie tun
Wenn wir Ihre Website betreuen, müssen Sie sich um das Update nicht selbst kümmern.
- Wir prüfen alle von uns betreuten Websites systematisch.
- Wir kontrollieren die eingesetzte PHP-Version und den Update-Stand beim jeweiligen Hoster.
- Ist ein Update oder eine Umstellung der PHP-Version nötig, melden wir uns direkt bei Ihnen und übernehmen das.
Worauf Sie selbst achten sollten
- Vorsicht bei E-Mails zum Thema: Betrüger nutzen solche Meldungen gern für Phishing. Klicken Sie nicht auf Links in unerwarteten „Sicherheitswarnungen“ und geben Sie keine Zugangsdaten heraus. Wir fragen Sie niemals per E-Mail nach Passwörtern.
- Auffälligkeiten melden: Sehen Sie unbekannte Inhalte, seltsame Weiterleitungen oder neue Benutzerkonten auf Ihrer Website, geben Sie uns bitte sofort Bescheid.
- Alte PHP-Versionen im Blick behalten: PHP 8.1 und ältere Versionen erhalten vom PHP-Projekt keine Updates mehr. Betreiben Sie neben Ihrer Website weitere Systeme, die wir nicht betreuen, fragen Sie dort nach dem Update-Stand.
Sie haben Fragen zu Ihrer Website oder möchten wissen, wo Sie stehen? Sprechen Sie uns an. Wir prüfen Ihre Installation und sagen Ihnen, ob Handlungsbedarf besteht.
Passend dazu: Contao-Updates: Läuft Ihre Website noch auf einer sicheren Version?
Häufige Fragen
Muss ich jetzt selbst etwas tun?
Wenn wir Ihre Website betreuen, nein. Wir prüfen alle Seiten und melden uns, falls ein Update nötig ist.
Woran erkenne ich, ob meine Website auf PHP läuft?
Nutzen Sie WordPress, Shopware, TYPO3, Contao oder ein ähnliches System, läuft Ihre Website mit hoher Wahrscheinlichkeit auf PHP. Im Zweifel fragen Sie Ihre Agentur oder Ihren Hoster.
Spielt mein Hoster das Update automatisch ein?
Bei Shared Hosting übernimmt das in der Regel der Hoster. Wichtig ist, dass im Kundenmenü eine aktuelle PHP-Version eingestellt ist. Bei einem eigenen Server muss das Update selbst eingespielt werden.
Quellen
Stand: Oktober 2026
Fragen zu Ihrem Projekt?
Schreiben Sie kurz, worum es geht. Sie bekommen direkt eine ehrliche Einschätzung, ohne Umweg.