PHP-Sicherheitslücke: Ist Ihre Website bereits geschützt?

Stand: 22. Oktober 2026. Für PHP wurden am 21. Oktober zwei kritische Sicherheitslücken und die passenden Updates veröffentlicht. Wenn Ihre Website PHP verwendet, sollten Sie jetzt klären, ob die tatsächlich laufende Version die Korrekturen enthält. Eine normal aussehende Startseite beantwortet diese Frage nicht.

Sie müssen dafür nicht selbst programmieren. Wichtig sind eine konkrete Auskunft vom Hostinganbieter, der richtige Softwarestand und eine Prüfung der Funktionen nach der Umstellung. Hier erfahren Sie, worauf es dabei ankommt.

Was ist die PHP-Sicherheitslücke?

PHP ist Software auf dem Server, mit der unter anderem WordPress arbeitet. Sie ist eine andere Ebene als Ihr Theme oder ein installiertes Plugin. Ein WordPress-Update allein ersetzt deshalb kein erforderliches PHP-Sicherheitsupdate.

Die beiden gemeldeten Probleme betreffen den internen Umgang mit Speicher. Vereinfacht gesagt kann PHP in bestimmten Situationen mit Daten weiterarbeiten, die nicht mehr gültig sind. Angreifer können dadurch auf betroffenen Servern fremden Code ausführen, ohne sich vorher anzumelden. Die technischen Meldungen unterscheiden CVE-2026-109618 und CVE-2026-109619.

Die offizielle PHP-Warnung vom 21. Oktober betrifft PHP-Installationen, die Webanfragen verarbeiten. Auch PHP-FPM gehört dazu. Eine bestimmte Hostingtechnik ist daher noch keine Entwarnung. Entscheidend ist, ob die verwendete Installation korrigiert wurde.

Welche PHP-Version behebt die Lücken?

Die Korrekturen wurden für vier unterstützte PHP-Zweige veröffentlicht. Die folgende Tabelle nennt jeweils die erste korrigierte Veröffentlichung für diese beiden Lücken. Spätere Sicherheitsupdates sind ebenfalls zu beachten.

Wenn Sie PHP 8.3 nutzen, müssen Sie dafür nicht auf PHP 8.5 wechseln. PHP 8.3.36 ist die korrigierte Version innerhalb Ihres Zweigs. Die vier Nummern sind Alternativen für unterschiedliche Zweige; Sie installieren nicht alle vier. Ein zusätzlicher Wechsel auf einen anderen Zweig ist eine eigene Kompatibilitätsaufgabe.

Ergänzung vom 31. Oktober 2026: PHP meldete am 23. Oktober mit CVE-2026-115560 eine weitere, separate Sicherheitslücke. Die oben genannten Updates vom 21. Oktober beheben die beiden ursprünglichen Lücken, nicht diese zusätzliche. Sie setzt laut PHP eine ungewöhnliche Kombination aus Anwendungscode und Einstellungen voraus. Bitten Sie Ihren Hostinganbieter um Prüfung und eine passende Schutzmaßnahme. Die Anzeige unten bewertet ausschließlich CVE-2026-109618 und CVE-2026-109619. PHP-Hinweis zu CVE-2026-115560.

Bei älteren Anbieterpaketen kann die sichtbare Versionsnummer allerdings gleich bleiben. Plesk dokumentiert für Linux beispielsweise korrigierte Pakete von PHP 7.4.33, 8.0.30 und 8.1.34 mit dem Build-Datum 21. Oktober 2026. Das bedeutet ausdrücklich nicht, dass jedes Paket mit einer dieser Nummern geschützt ist. Anbieter, Paket und Build müssen zur Meldung passen.

Eine solche nachträgliche Anbieter-Korrektur verlängert außerdem nicht den regulären PHP-Support. Nach der offiziellen Supportübersicht sind PHP 8.1 und ältere Zweige nicht mehr unterstützt. Für diese Installationen gehört der Wechsel auf einen passenden unterstützten Zweig weiter auf die Aufgabenliste.

So prüfen Sie den Stand Ihrer Website

Beginnen Sie mit einer Liste Ihrer tatsächlich betriebenen Websites. Vergessen Sie dabei erreichbare Testseiten und Unterdomains nicht. Eine Weiterleitung ist dagegen nicht automatisch eine eigene PHP-Anwendung. Die Prüfung muss zeigen, welche Installation welche Adresse ausliefert.

In WordPress finden Sie die angezeigte PHP-Version unter Werkzeuge → Website-Zustand → Bericht → Server. Die WordPress-Anleitung zum PHP-Update beschreibt diesen Weg in ihrer englischen Oberfläche als „Tools → Site Health → Info → Server“. Im Hostingkonto ist meist zusätzlich die zugewiesene PHP-Version erkennbar.

Notieren Sie die vollständige Nummer, etwa 8.3.36 statt nur 8.3. Bei einem Anbieterpaket mit unveränderter Nummer brauchen Sie die Bestätigung des konkreten Paketstands. Auch die Aussage „Das Update ist auf dem Server installiert“ sollte zur tatsächlich von Ihrer Website verwendeten Umgebung passen.

Bei einer aktuellen Bestandsprüfung für PEMKO war genau dieser Unterschied wichtig: Für einen älteren PHP-Zweig mussten wir neben der sichtbaren Nummer das Build-Datum mit der Herstellerinformation vergleichen. Die Bestätigung bezog sich auf diese beiden Sicherheitslücken. Sie war keine vollständige Untersuchung auf einen möglichen Angriff.

Drei Fragen an Ihren Hostinganbieter

Eine kurze Anfrage kann so aussehen. Ersetzen Sie den Platzhalter durch Ihre eigene Adresse:

Bitte prüfen Sie die PHP-Umgebung, die meine Website [Webadresse] tatsächlich ausliefert:
1. Enthält sie die Korrekturen für CVE-2026-109618 und CVE-2026-109619?
2. Welche Version beziehungsweise welcher Paket- und Build-Stand bestätigt das?
3. Ist dieser Stand bereits aktiv, und wurden zugehörige Testseiten oder Verwaltungsoberflächen ebenfalls berücksichtigt?

Halten Sie die Antwort mit Datum und den geprüften Adressen fest. Ein nachvollziehbares Ergebnis nennt den Softwarestand und seine Grundlage. „Alles sicher“ ohne benannte Prüfung hilft Ihnen bei einer späteren Rückfrage wenig.

Nach dem PHP-Update die wichtigen Funktionen testen

Ein Sicherheitsupdate soll zeitnah eingespielt werden. Bei einem Wechsel auf einen anderen PHP-Zweig müssen zugleich Theme, Erweiterungen und eigene Anpassungen mit der neuen Umgebung zusammenarbeiten. Bereiten Sie den Rückweg vor und halten Sie die bisherige Einstellung fest. Was eine Sicherung tatsächlich zeigen sollte, erläutert unser Beitrag zur Wiederherstellungsprobe bei WordPress.

Für die anschließende Abnahme können Sie diese Liste verwenden:

1. Öffentliche Seiten: Startseite und wichtige Unterseiten direkt öffnen. Texte, Bilder und Downloads mit dem vorherigen Stand vergleichen.
2. Bedienung: Navigation auf Computer und Smartphone, aufklappbare Bereiche und wichtige Schaltflächen ausprobieren.
3. Anfragen: Fehlende Pflichtangaben und verständliche Rückmeldungen prüfen. Einen vereinbarten Testversand bis zum vorgesehenen Empfänger kontrollieren; ein sichtbares Formular beweist noch keine Zustellung.
4. Besondere Funktionen: Buchung, Kundenbereich oder Shop mit abgesprochenen Testfällen prüfen. Dabei keine unbeabsichtigten echten Bestellungen, Zahlungen oder Benachrichtigungen auslösen.
5. Verwaltung: Anmeldung und die benötigten Bearbeitungsfunktionen kontrollieren. Technische Fehlermeldungen und relevante Protokolle durch die zuständige Fachperson prüfen lassen.
6. Ergebnis: Version, Zeitpunkt, geprüfte Aufgaben und offene Punkte dokumentieren. Eine nicht getestete Funktion bleibt als ungeprüft erkennbar.

War ein Bereich schon vor dem Update defekt, halten Sie das getrennt fest. Sonst wird ein alter Fehler leicht der Umstellung zugeschrieben. Falls eine Rücknahme nötig ist, muss auch für den vorübergehenden PHP-Stand geklärt sein, ob er die erforderliche Sicherheitskorrektur enthält.

Gepatcht bedeutet nicht automatisch unversehrt

Ein korrigierter PHP-Stand schließt diese beiden Lücken. Er beantwortet nicht, ob die Website zuvor angegriffen oder verändert wurde. Unbekannte Benutzerkonten, fremde Unterseiten oder unerwartete Weiterleitungen brauchen deshalb eine eigene Untersuchung.

Notieren Sie Beobachtung, Adresse und Zeitpunkt, statt verdächtige Inhalte voreilig zu löschen. Wie Sie professionelle Hilfe und einen nachvollziehbaren Prüfauftrag vorbereiten, erklärt WordPress gehackt: Wiederherstellung planen. Ein Versionswechsel allein ist kein Bereinigungsnachweis.

PHP-Prüfung und Website-Betreuung anfragen

Wenn Sie den technischen Stand nicht selbst einordnen können, nennen Sie PEMKO Ihre Webadresse, den bekannten Hostinganbieter und vorhandene Fehlermeldungen. Passwörter sind für die erste Anfrage nicht nötig. Benötigte Zugänge stimmen wir anschließend ab.

Wir klären den vorhandenen PHP-Stand, eine erforderliche Umstellung und die Funktionen, die danach geprüft werden sollen. Für den laufenden Betrieb lassen sich Updates und Kontrollen in eine passende WordPress-Wartung und Betreuung einordnen. Über PHP-Prüfung für Ihre Website anfragen können Sie Ihre Situation kurz beschreiben.