Ja, die PHP-Sicherheitslücke ist kritisch, und es gibt bereits Updates: Das PHP-Projekt hat am 21. Oktober 2026 zwei schwere Lücken geschlossen. Prüfen Sie noch heute, welche PHP-Version Ihre Website nutzt. Ein WordPress-Update allein reicht nicht, denn das Update muss auf dem Server eingespielt werden.
Stand: 22. Oktober 2026 – die Lage kann sich ändern.
Was ist passiert?
PHP ist die Programmiersprache, auf der WordPress, WooCommerce, Joomla und Drupal laufen. Sie arbeitet auf dem Server, auf dem Ihre Website liegt. Das PHP-Projekt hat am 21. Oktober 2026 die Sicherheitsreleases 8.5.12, 8.4.27, 8.3.36 und 8.2.35 veröffentlicht. Sie beheben zwei kritische Lücken mit den Kennnummern CVE-2026-109618 und CVE-2026-109619. Eine CVE-Nummer ist der weltweit einheitliche Name für eine bekannte Sicherheitslücke.
Beide Lücken ermöglichen „unauthentifizierte Remote Code Execution“. Das heißt: Ein Angreifer kann aus der Ferne und ohne Anmeldung Schadcode auf dem Server ausführen. Laut ORF könnte er damit die Kontrolle über eine Website übernehmen und auf Datenbanken und Kundendaten zugreifen. Die Schwere wird mit 9,2 angegeben (CVSS, eine Skala bis 10). Das PHP-Projekt schreibt: „Alle PHP-Nutzer werden aufgefordert, sofort zu aktualisieren.“ Nur ein Update sei eine vollständige Lösung (php.net). Betroffen sind die gängigen Betriebsarten wie mod_php, PHP-FPM, php-cgi, FrankenPHP und LiteSpeed.
Das Release wurde am 20. Oktober angekündigt und am 21. Oktober um 16:00 Uhr MESZ veröffentlicht. Die CVE-Nummern waren schon am 20. Oktober vorzeitig in einem Forum öffentlich geworden. Das BSI hat am 21. Oktober unter dem Titel „PHP – Kritische Schwachstellen bedrohen Webanwendungen weltweit“ gewarnt und empfiehlt, Patches unverzüglich zu installieren (BSI-Warnung).
Mehrere Einrichtungen haben ihre Seiten daraufhin vorsorglich vom Netz genommen:
- Die Stadt Mainz nahm am Nachmittag des 21. Oktober vorsorglich mehrere städtische Internetdienste vom Netz, vor allem www.mainz.de (mainzund).
- Die Charité in Berlin schaltete ihre Website aus Sicherheitsgründen ab, die Online-Terminbuchung war am 21. Oktober nicht verfügbar (Berliner Zeitung).
- Die Ruhr-Universität Bochum sperrte ihre Webseiten ab dem 21. Oktober, 12:30 Uhr, vorsorglich für den externen Zugriff, voraussichtlich bis 22. Oktober, 12 Uhr (RUB-Meldung).
Laut ORF berichtete Cloudflare-Chef Matthew Prince auf X von Millionen Angriffsversuchen. In den 45 Minuten nach Bekanntgabe sei die Zahl auf Zehntausende gestiegen (ORF). Das ist ein Grund zur Eile, aber nicht zur Panik: Mit dem passenden PHP-Stand ist die Lücke geschlossen.
Bin ich betroffen?
Betroffen ist grundsätzlich jede Website, die auf einem Server mit PHP läuft, solange dort noch keine korrigierte Version eingespielt ist. Entscheidend ist die PHP-Version Ihres Hostings. Sie können sie in wenigen Minuten nachsehen.
Mit WordPress:
- Melden Sie sich im WordPress-Dashboard an.
- Öffnen Sie Werkzeuge → Website-Zustand.
- Wechseln Sie auf den Reiter „Bericht“.
- Klappen Sie den Abschnitt „Server“ auf.
- Lesen Sie in der Zeile „PHP-Version“ die Nummer ab, zum Beispiel 8.x.y.
Ohne WordPress, etwa bei Joomla, Drupal oder einem Shop: Schauen Sie im Kundenbereich Ihres Hosters nach. Dort steht oft nur die Hauptversion (etwa „8.3“), nicht die genaue Nummer dahinter. Dann hilft die Mail-Vorlage weiter unten.
Welche PHP-Version ist sicher – und was muss ich tun?
Maßgeblich ist die ganze Nummer, nicht nur die ersten beiden Stellen. Vergleichen Sie Ihre Version mit dieser Tabelle:
| Ihre Version | Sicher ab | Was tun |
|---|---|---|
| 8.5 | 8.5.12 | Auf 8.5.12 oder neuer bringen lassen. |
| 8.4 | 8.4.27 | Auf 8.4.27 oder neuer bringen lassen. |
| 8.3 | 8.3.36 | Auf 8.3.36 oder neuer bringen lassen. |
| 8.2 | 8.2.35 | Auf 8.2.35 oder neuer bringen lassen. Sicherheitsupdates für 8.2 gibt es nur noch bis 31.12.2026, planen Sie den Wechsel auf 8.3 oder 8.4 ein. |
| 8.1, 8.0, 7.x | Kein Update vom PHP-Projekt | Nur falls Ihr Hoster oder die Server-Distribution selbst nachrüstet. Verlassen Sie sich nicht darauf, wechseln Sie auf 8.3 oder 8.4. |
Die Sicherheitsupdates laufen bei 8.3 bis 31.12.2027, bei 8.4 bis 31.12.2028 und bei 8.5 bis 31.12.2029 (php.net). Für 8.1 und älter gibt es vom PHP-Projekt keine Updates mehr, einige Distributionen und LTS-Anbieter stellen aber rückportierte Korrekturen bereit.
Meine Faustregel: Läuft Ihre Website auf einer PHP-Version, für die es keine Sicherheitsupdates mehr gibt, ist das kein Wartungsthema für irgendwann, sondern eine offene Tür.
Warum reicht ein WordPress-Update nicht?
WordPress, Ihr Theme und Ihre Plugins sind in PHP geschrieben. PHP selbst läuft darunter auf dem Server und gehört zum Hosting, nicht zu WordPress. Die Lücke steckt in PHP, deshalb schließt sie nur ein PHP-Update auf dem Server. Auch das Aktualisieren von Plugins ändert daran nichts.
Übergangsmaßnahmen sind Sache des Hosters oder Administrators und ersetzen kein Update. Das PHP-Projekt nennt nur das Update eine vollständige Lösung.
Wie frage ich meinen Hoster, ob PHP schon aktualisiert ist?
Kopieren Sie Betreff und Text und ersetzen Sie die Platzhalter in eckigen Klammern. Die Antwort sagt Ihnen, ob Sie noch handeln müssen.
Betreff: PHP-Sicherheitsupdate für [Ihre Domain] (Kundennummer [Kundennummer])
Sehr geehrte Damen und Herren,
bitte teilen Sie mir mit, welche genaue PHP-Version 8.x.y für meine Domain [Ihre Domain] (Kundennummer [Kundennummer]) aktuell eingespielt ist. Bitte bestätigen Sie mir außerdem, ob diese Version die Korrekturen für CVE-2026-109618 und CVE-2026-109619 enthält, und seit wann das der Fall ist. Falls das noch nicht so ist, nennen Sie mir bitte den Zeitpunkt, zu dem das Update erfolgt.
Mit freundlichen Grüßen
[Ihr Name]
Wie stelle ich die PHP-Version sicher um?
- Machen Sie zuerst ein Backup. Wie das geht, steht in Backup einer WordPress-Seite.
- Öffnen Sie den Kundenbereich Ihres Hosters und stellen Sie die PHP-Version um. Die Einstellung heißt je nach Anbieter unterschiedlich, meist taucht „PHP“ oder „PHP-Version“ in den Hosting-Einstellungen auf. WordPress empfiehlt PHP 8.3 oder neuer.
- Testen Sie danach Ihre Website: Startseite, mehrere Unterseiten, Anmeldung und Formulare.
Sehen Sie nach der Umstellung nur noch eine weiße Seite, hilft weiße Seite nach WordPress-Update weiter. Ältere Plugins oder Themes kommen mit einer neuen PHP-Version nicht immer zurecht, deshalb ist das Backup vorher wichtig. Wenn Sie die Umstellung lieber abgeben möchten, finden Sie unter Leistungen, wie ich Websites ortsunabhängig betreue.
Was sollte ich nach dem Update prüfen?
- Version kontrollieren: Rufen Sie den Website-Zustand erneut auf und prüfen Sie, dass die neue PHP-Version angezeigt wird.
- Benutzerkonten ansehen: Unter Benutzer → Alle Benutzer sollte kein Administrator auftauchen, den Sie nicht kennen.
- Ungewohnte Dateien und Plugins suchen: Fremde Plugins in der Plugin-Liste oder neue Dateien, die Sie nicht angelegt haben, sind ein Warnzeichen.
- Formulare testen: Senden Sie eine Testnachricht über Kontaktformular und gegebenenfalls Bestellvorgang.
Haben Sie einen Verdacht, finden Sie die nächsten Schritte in WordPress gehackt – was tun?. Wenn Sie Hilfe möchten, schreiben Sie mir über die Kontaktseite.
Und in Österreich?
Auch in Österreich waren Websites betroffen: Die Seiten der Uni Wien, der TU Wien und der „Niederösterreichischen Nachrichten“ (NÖN) waren vorübergehend nicht erreichbar (ORF). Das CERT.at, die österreichische Anlaufstelle für Cybersicherheit, hat die Warnung verbreitet und rät zu automatischen Updates und regelmäßigen Neustarts (ORF). Technisch gilt hier dasselbe wie in Deutschland: PHP-Version prüfen, den Hoster fragen, bei Bedarf umstellen.
Häufige Fragen
Muss ich selbst etwas tun, wenn ich Managed Hosting habe?
Zumindest nachfragen. Beim Managed Hosting kümmert sich in der Regel der Anbieter um PHP. Lassen Sie sich trotzdem bestätigen, welche Version läuft und ob die Korrekturen für CVE-2026-109618 und CVE-2026-109619 enthalten sind. Die Mail-Vorlage oben passt dafür.
Betrifft das auch Shops (WooCommerce), Joomla und Drupal?
Ja. Die Lücke steckt in PHP, nicht in einem bestimmten System. Betroffen ist alles, was auf PHP läuft, also auch WooCommerce-Shops, Joomla und Drupal.
Ist meine Website schon gehackt?
Nicht automatisch. Die genannten Einrichtungen haben ihre Seiten vorsorglich abgeschaltet. Solange das Update fehlt, ist die Lücke aber offen. Spielen Sie das Update ein und gehen Sie danach die Prüfliste durch.
Hilft ein Sicherheits-Plugin?
Nicht gegen diese Lücke. Sie steckt in PHP auf dem Server, ein Plugin läuft darauf auf. Ein Sicherheits-Plugin kann sinnvoll sein, ersetzt aber das PHP-Update nicht.
Was kostet das?
Das Update selbst ist in der Regel im Hosting enthalten. Ob Ihre Website nach einem Versionswechsel Anpassungen braucht, zeigt der Test nach der Umstellung.
Gunther Schoepf