Sicherheitshinweis & Soforthilfe
PHP-Sicherheitslücke: Prüfung für Ihre Webseite
Am 21. Oktober 2026 wurden zwei kritische Lücken in PHP veröffentlicht – der Technik, auf der die Mehrheit aller Webseiten läuft. Ich stelle fest, ob Ihre Seite betroffen ist, kläre den Patch mit Ihrem Hoster und halte das Ergebnis schriftlich fest.
Was passiert ist
Keine Panikmeldung, sondern der Sachstand in vier Punkten.
Zwei kritische Lücken
Das PHP-Projekt hat am 21. Oktober 2026 die Schwachstellen CVE-2026-109618 und CVE-2026-109619 veröffentlicht. Beide sind mit 9.2 von 10 Punkten als kritisch eingestuft.
Angriff ohne Anmeldung
Ein Angreifer kann über das Netz eigenen Programmcode auf dem Server ausführen – ohne Zugangsdaten und ohne dass ein Nutzer etwas anklicken muss. Zusätzlich lässt sich Arbeitsspeicher auslesen, in dem Kennwörter, Zugriffsschlüssel und Zertifikate stehen können.
Sehr breite Streuung
PHP läuft nach Angaben des Sicherheitsunternehmens Wiz auf rund 70 Prozent aller Webseiten, darunter WordPress, Joomla und Drupal. Die Lücke sitzt unterhalb der Anwendung – auch eine einfache Seite ohne Zusatzmodule kann betroffen sein.
Behörden gingen offline
Das BSI, das CERT der EU-Institutionen und das britische NCSC haben gewarnt. Mehrere Landesbehörden und Hochschulen haben ihre Seiten noch am Tag der Veröffentlichung vorsorglich abgeschaltet. Ein fertiges Angriffswerkzeug ist öffentlich im Umlauf.
Betrifft das meine Webseite?
Die kurze Antwort: wahrscheinlich ja – und Sie können es in Ihrer Webseite selbst nicht reparieren.
Anfällige Versionen
Betroffen ist alles vor PHP 8.2.35, 8.3.36, 8.4.27 beziehungsweise 8.5.12. Ältere Reihen wie PHP 8.1 oder 7.x bekommen gar keine Korrektur mehr und sollten ohnehin ersetzt werden.
Reparatur nur am Server
Die Lücke steckt im PHP-Programm selbst, nicht in WordPress. Kein Plugin, kein Theme und keine Einstellung in Ihrem Verwaltungsbereich kann sie schließen. Das Update muss auf dem Server eingespielt werden – bei Miet-Hosting also beim Anbieter.
Die Versionsanzeige allein genügt nicht
WordPress zeigt eine Version wie „8.2.34“ an. Ob der Patch eingespielt ist, hängt bei vielen Server-Systemen an einer Paketnummer, die dort nicht auftaucht. Darum braucht es eine verbindliche Aussage des Hosters, nicht nur einen Blick auf die Anzeige.
Neustart nicht vergessen
Nach dem Update müssen die PHP-Arbeitsprozesse neu gestartet werden. Geschieht das nicht, läuft der alte, angreifbare Code weiter – obwohl die neue Version installiert ist. Dieser Punkt wird in der Praxis am häufigsten übersehen.
Was ich für Sie tue
Ein klar abgegrenzter Ablauf in fünf Schritten – nachvollziehbar und schriftlich belegt.
Bestandsaufnahme
Feststellen, welche PHP-Version Ihre Seite tatsächlich ausführt, und Abgleich mit der Liste der anfälligen Versionen. Ergebnis: betroffen, nicht betroffen oder klärungsbedürftig.
Klärung mit dem Hoster
Ist Ihre Seite betroffen, wende ich mich in Ihrem Namen an den Anbieter, nenne die beiden Schwachstellen konkret und erfrage eine verbindliche Aussage: eingespielte Paketversion und Zeitpunkt des Neustarts.
Nachprüfung
Nach der Rückmeldung prüfe ich erneut, ob die laufende Seite wirklich die korrigierte Version ausführt. Eine Zusage allein wird nicht als Nachweis gewertet.
Spurensuche
Prüfung auf Hinweise, dass die Lücke vorher ausgenutzt wurde: Abgleich der WordPress-Kerndateien gegen die offiziellen Prüfsummen, Suche nach neu angelegten PHP-Dateien, Durchsicht der Administratorkonten und der geplanten Aufgaben.
Protokoll
Sie erhalten ein Protokoll in Schriftform: was geprüft wurde, mit welchem Ergebnis, wann, welche Auskunft der Hoster gegeben hat und was offen bleibt. Damit haben Sie einen datierten Nachweis Ihrer Sorgfaltspflicht.
Weiterverfolgung
Reagiert der Anbieter nicht oder nur ausweichend, bleibe ich dran und dokumentiere jeden Schritt. Auf Wunsch prüfe ich nach einigen Wochen erneut nach.
Was ausdrücklich nicht dazugehört
Damit beide Seiten wissen, woran sie sind.
Keine Gesamtsicherheitsgarantie
Dieser Auftrag betrifft ausschließlich die beiden genannten PHP-Schwachstellen. Er ist kein vollständiger Sicherheitstest Ihres Servers und keine Zusicherung, dass Ihr System frei von anderen Schwachstellen ist.
Kein Zugriff, den ich nicht brauche
Für die Prüfung genügt in der Regel ein Zugang zu Ihrem WordPress-Verwaltungsbereich. Server- oder Datenbankzugangsdaten verlange ich nicht, solange sie nicht erforderlich sind.
Das Update spiele nicht ich ein
Bei Miet-Hosting liegt die Ausführung technisch beim Anbieter. Meine Leistung ist die Feststellung, die Klärung, die Nachprüfung und die Dokumentation – nicht der Eingriff in fremde Server.
Keine Entwarnung ins Blaue
Findet die Spurensuche nichts, heißt das: keine Hinweise gefunden. Ein Beweis der Unversehrtheit ist das nicht, und als solcher wird es im Protokoll auch nicht bezeichnet.
Eigener Server statt Miet-Hosting?
Dann sieht die Lage anders aus – und meist dringender.
Niemand macht es für Sie
Bei einem eigenen Server, einem VPS oder einer selbst verwalteten Maschine gibt es keinen Anbieter, der das Update im Hintergrund einspielt. Ohne eigenes Zutun bleibt die Lücke offen.
Einspielen und belegen
Auf solchen Systemen übernehme ich auf Wunsch das Update selbst: Paketstand aktualisieren, Arbeitsprozesse neu starten, Version und Erreichbarkeit der Seiten im Anschluss prüfen – jeder Schritt im Protokoll.
Danach aufräumen
Erfahrungsgemäß kommen bei dieser Gelegenheit weitere Punkte zum Vorschein: fehlende Zugriffsprotokolle, nicht rotierende Protokolldateien, Versionsreihen kurz vor dem Supportende. Das benenne ich, ohne es ungefragt mitzuberechnen.
Ablauf
Von der Anfrage bis zum Protokoll.
Anfrage
Kurze Nachricht mit der Adresse Ihrer Webseite und der Angabe, wo sie gehostet ist. Mehr braucht es für den Anfang nicht.
Erste Einschätzung
Rückmeldung, ob Ihre Seite dem ersten Anschein nach betroffen ist, mit Angabe des Aufwands. Erst danach entscheiden Sie.
Durchführung
Prüfung, Klärung mit dem Hoster und Nachprüfung. Sie werden über jeden Schritt unterrichtet, auch wenn er ergebnislos bleibt.
Übergabe
Protokoll in Schriftform, bei Bedarf mit einer Empfehlung für die nächsten Schritte.
Prüfung anfragen
Die Adresse Ihrer Webseite und der Name des Hosters genügen für eine erste Einschätzung.
Hinweis: Die hier genannten Angaben zu den Schwachstellen CVE-2026-109618 und CVE-2026-109619 beruhen auf den Veröffentlichungen des PHP-Projekts, des BSI und des CERT-EU vom 21. Oktober 2026. Sicherheitslagen ändern sich – maßgeblich ist immer die aktuelle Veröffentlichung des Herstellers.