PHP-Sicherheitslücken: Welche Versionen betroffen sind und wer handeln muss

01

Warum Websites und Hosting-Verwaltungen plötzlich offline waren

Quellenstand: 22. Oktober 2026. Die folgenden Versionsangaben beziehen sich auf CVE-2026-109618 und CVE-2026-109619.

Die Website ist nicht erreichbar, der Login beim Hoster funktioniert nicht und eine Sicherheitswarnung fordert zum sofortigen Handeln auf. Genau diese Situation haben viele Website-Betreiber am 21. Oktober erlebt. Auslöser waren zwei kritische Sicherheitslücken in PHP, einer technischen Grundlage zahlreicher Websites und Onlineshops.

Die notwendigen Korrekturen sind inzwischen veröffentlicht. Entscheidend ist jetzt, ob sie für Deine konkrete Website eingespielt wurden und wer dafür zuständig ist. Besonders bei getrennten Dienstleistern für Website und Hosting kann die Abstimmung schwierig werden. Hier findest Du zuerst die Versionsübersicht und anschließend die Hintergründe und nächsten Schritte.

02

Welche PHP-Versionen sind betroffen und welche korrigiert?

Diese Übersicht gilt für PHP, das Webanfragen verarbeitet. „Korrigiert“ bedeutet hier: Die beiden genannten Lücken sind behoben. Es ist keine allgemeine Sicherheitsgarantie für die Website. Für Pakete mit zurückportierten Anbieter-Korrekturen gelten die Nachweise des jeweiligen Anbieters.

Wichtig: Ein Backport überträgt die Sicherheitskorrektur in eine ältere Version. Deshalb kann auch eine unveränderte Versionsanzeige zu einem gepatchten Paket gehören. Lass Dir den Patchstatus bestätigen. PHP 8.1 und älter erhalten keine regulären Updates mehr vom PHP-Projekt; für 7.4, 8.0 und 8.1 wurden ausnahmsweise minimale Quellcode-Backports bereitgestellt.

Versionsstände und Updatewege nennt die offizielle PHP-Sicherheitsmeldung.

03

Was steckt hinter den beiden Sicherheitslücken?

PHP führt auf dem Server den Programmcode einer Website aus. Die beiden Schwachstellen betreffen seine interne Speicherverwaltung und Fehlerbehandlung. Unter bestimmten Bedingungen kann PHP mit unvollständigen oder bereits freigegebenen Daten weiterarbeiten. Angreifer können darüber ohne vorherige Anmeldung eigenen Code auf einem betroffenen Server ausführen.

Bei CVE-2026-109618 kann eine Unterbrechung wegen Speichermangels ungültige interne Daten hinterlassen. Bei CVE-2026-109619 kann eine spätere Anfrage auf bereits freigegebenen Speicher zugreifen. Die PHP Foundation beschreibt nachgewiesene Wege zur Codeausführung. Bei Apache mit mod_php kann ein Angriff sogar starten, bevor der eigentliche Website-Code ausgeführt wird.

Das PHP-Team bewertete beide Lücken mit CVSS 9,2 von 10 Punkten als kritisch. Übergangsmaßnahmen können einzelne Angriffswege erschweren, ersetzen die Sicherheitskorrektur aber nicht. Auch ein Sicherheitsplugin oder eine WordPress-Wartungsseite ist kein Ersatz für das PHP-Update auf dem Server.

Die technischen Hintergründe erklärt die PHP Foundation.

04

Wer hat vorgewarnt, und welche Websites betrifft es?

Das PHP-Sicherheitsteam kündigte am 20. Oktober ein außerplanmäßiges Update für den Folgetag an. CERT-EU empfahl bereits vor der Veröffentlichung, betroffene Anwendungen zu erfassen und sofortige Updates vorzubereiten. Wo keine schnelle Behebung möglich war, sollten öffentlich erreichbare Anwendungen vorübergehend isoliert werden. Am 21. Oktober riefen auch ENISA und weitere europäische Sicherheitsstellen zum unverzüglichen Handeln auf.

Die PHP Foundation nennt unter anderem Sicherheitsberichte von Calif, OpenAI und Wiz als wichtige Beiträge zur Untersuchung. Nachdem Informationen vorzeitig kursierten, zog das PHP-Projekt die ursprünglich für den 22. Oktober vorgesehene Veröffentlichung um einen Tag vor.

Betroffen sein können PHP-basierte Websites, Shops, individuelle Webanwendungen und Verwaltungsoberflächen. WordPress ist ein wichtiges Beispiel, aber die Lücken reichen über ein einzelnes Content-Management-System hinaus. Eine aktuelle WordPress-Installation allein schützt deshalb nicht. WordPress.org stellt klar, dass die Behebung in PHP erfolgen muss und dafür kein eigenes WordPress-Update vorgesehen ist.

Die Empfehlungen stehen bei CERT-EU.

Die gemeinsame europäische Warnung veröffentlicht ENISA.

Die Einordnung für Website-Betreiber findest Du bei WordPress.org.

05

Warum Hoster auch Verwaltungsoberflächen und ganze Systeme sperrten

Nicht nur Kundenwebsites nutzen PHP. Auch Hosting-Verwaltungen können auf dieser Technik aufbauen und müssen separat abgesichert werden. Deshalb können Website und Verwaltungsoberfläche zu unterschiedlichen Zeitpunkten wieder verfügbar sein.

Bei netcup blieb das Webhosting Control Panel zeitweise vorsorglich offline, während Kundenwebsites bereits mit gepatchten PHP-Versionen liefen. Der Anbieter wartete auf eine aktualisierte Plesk-Version und gab die Verwaltung nach Installation und Prüfung wieder frei. Bei unserer Quellenprüfung am 22. Oktober war die Störung als behoben markiert.

Andere Anbieter nahmen ganze Hosting-Systeme vorübergehend vom Netz. kyberio dokumentiert etwa die vorsorgliche Abschaltung seiner Shared-Hosting-Systeme am 21. Oktober gegen 15:45 Uhr und die anschließende schrittweise Wiederinbetriebnahme nach dem Patchen und Prüfen.

Solche Unterbrechungen sind ärgerlich, können aber eine notwendige Schutzmaßnahme sein. Ein Ausfall allein beweist weder einen erfolgreichen Angriff noch einen Datenverlust. Ebenso wenig belegt eine wieder erreichbare Website ohne weitere Bestätigung ihren Patchstatus.

Den Verlauf der Verwaltungssperre dokumentiert netcup auf seiner Statusseite.

Die vorsorgliche Abschaltung erläutert kyberio in seiner Kundeninformation.

06

Website von sem., Hosting woanders: Wer muss handeln?

Wenn Website und Hosting von unterschiedlichen Dienstleistern betreut werden, entsteht schnell eine Zuständigkeitslücke. Beim verwalteten Webhosting stellt der Hoster die PHP-Umgebung und deren Sicherheitsupdates bereit. Er aktualisiert normalerweise aber nicht eigenständig Deine WordPress-Installation, Plugins, Themes oder individuellen Funktionen.

Ist die Anwendung nur mit PHP 7.4 oder 8.1 kompatibel, kann der Hoster einen größeren Versionswechsel nicht einfach ungeprüft durchführen. Ein Sicherheits-Backport innerhalb des bisherigen Zweigs ist davon zu unterscheiden: Er kann die konkrete Lücke auch ohne einen solchen Versionswechsel schließen. Ob der Anbieter diesen Weg unterstützt, muss er bestätigen.

Umgekehrt haben wir bei externem Hosting meistens keinen Zugriff auf die Hosting-Verwaltung. Ein WordPress-Administratorzugang genügt nicht, um PHP auf dem Server zu aktualisieren oder die zugewiesene Version umzustellen. Bei selbst verwalteten Root-Servern oder VPS liegt die PHP-Administration üblicherweise beim Betreiber oder dessen beauftragter Administration.

Wenn wir Deine Website erstellt haben, Dein Hosting aber bei einem anderen Anbieter liegt, musst Du die Absicherung der PHP-Umgebung deshalb selbst beim Hoster veranlassen. Eine notwendige Versionsumstellung führst Du dort durch oder lässt sie beauftragt durchführen. Du musst dafür keine Serveradministration lernen; entscheidend ist, dass Du die Abstimmung anstößt.

Für Websites in unserer laufenden Wartung halten wir WordPress, Plugins und Themes aktuell und betreuen die Kompatibilität mit aktuellen PHP-Versionen. Bei größeren Versionswechseln berücksichtigen wir die konkret eingesetzten Erweiterungen und individuellen Funktionen. Bei externem Hosting bleibt die Abstimmung über die Serverumgebung trotzdem notwendig. Die frühere Website-Erstellung allein umfasst keine dauerhafte Wartung.

07

Was Du bei externem Hosting jetzt prüfen solltest

Frage Deinen Anbieter konkret: „Ist die PHP-Installation meiner Website gegen CVE-2026-109618 und CVE-2026-109619 gepatcht? Gilt das auch für die derzeit meiner Domain zugewiesene PHP-Version, und muss ich eine Versionsumstellung veranlassen?“

In WordPress findest Du die verwendete PHP-Version unter Werkzeuge → Website-Zustand → Info → Server. Die Anzeige hilft bei der Anfrage, ersetzt bei einem Anbieter-Backport aber keinen Patchnachweis. Prüfe auch weitere Websites, Subdomains oder ältere Installationen im selben Hostingpaket.

Kläre anschließend mit Deiner Website-Betreuung, ob ein Wechsel auf einen unterstützten PHP-Zweig erforderlich ist. Vor einem größeren Wechsel sollten eine aktuelle Sicherung und ein Rückweg vorhanden sein. Anschließend müssen die wichtigen Funktionen geprüft werden, insbesondere Formulare, Logins und gegebenenfalls Bestell- und Zahlungsabläufe.

Ist die Hosting-Verwaltung vorübergehend gesperrt, nutze die Statusseite und den Support des Anbieters. Lass Dir einen noch unklaren Patchstatus bestätigen. Ist eine Installation nachweislich verwundbar und kann nicht zeitnah korrigiert werden, sollte die zuständige Administration die vorübergehende Isolation koordinieren.

08

Hosting und Wartung bei sem.: Wir kümmern uns um die Abstimmung

Wenn Du sowohl einen Wartungsvertrag als auch Dein Hosting bei uns hast, musst Du bei solchen Meldungen grundsätzlich keine Updates selbst organisieren oder zwischen mehreren Anbietern vermitteln. Die Zuständigkeit ist von Beginn an geklärt: Wir haben die notwendigen Zugänge gebündelt und übernehmen im vereinbarten Leistungsumfang die technische Betreuung von Website und Hosting.

Dazu gehört, erforderliche Sicherheitsmaßnahmen und Aktualisierungen zu koordinieren und den Betrieb im Blick zu behalten. Falls wir Deine Mitwirkung benötigen, melden wir uns. Du hast einen festen Ansprechpartner, der die Verantwortung für die vereinbarte technische Betreuung übernimmt.

Möchtest Du Hosting und Wartung künftig gemeinsam betreuen lassen, klären wir zuerst den Zustand Deiner Website, die vorhandenen Zugänge und das passende Paket. In unserer Paketübersicht kannst Du zwischen Wartung, Hosting und Bundles wechseln.