Was passiert ist
Am 21. Oktober 2026 hat das PHP-Projekt die Versionen 8.5.12, 8.4.27, 8.3.36 und 8.2.35 veröffentlicht. Sie schliessen zwei Lücken mit den Kennungen CVE-2026-109618 und CVE-2026-109619. Beide sind mit 9.2 von 10 Punkten bewertet. Ein Angreifer braucht dafür weder ein Konto noch ein Passwort. Eine präparierte Anfrage an den Webserver reicht, um dort eigenen Code auszuführen.
Die Details sind am 20. Oktober vorzeitig öffentlich geworden, zwei Tage vor dem geplanten Termin. Seither melden Sicherheitsfirmen erste Angriffsversuche. Die US-Behörde CISA rät, PHP-Systeme vom Netz zu nehmen, wenn sie sich nicht sofort aktualisieren lassen.
Wer betroffen ist
Jede Installation, die über PHP Webseiten ausliefert. Das betrifft die meisten Websites und Onlineshops, ob WordPress, MODX, Joomla, Shopware oder eine selbst entwickelte Anwendung.
- PHP 8.2 bis 8.5: Mit dem Update auf die neue Version ist die Lücke geschlossen.
- PHP 8.1 und älter: Das PHP-Projekt liefert für diese Versionen keine Updates mehr. Es gibt nur Quellcode-Patches für 7.4, 8.0 und 8.1, die man selbst einbauen muss. Auf einem Shared Hosting geht das in der Regel nicht.
PHP 8.2 bekommt nur noch bis am 31. Dezember 2026 Sicherheitsupdates. Wer jetzt nur das Update für 8.2 einspielt, steht im Januar vor derselben Frage wie heute die Betreiber von 8.1.
Was Sie jetzt tun sollten
- Herausfinden, welche PHP-Version Ihre Website nutzt. Bei Plesk, cPanel oder im Kundenkonto Ihres Hosters steht sie in den Einstellungen der Domain.
- Bei 8.2 bis 8.5 prüfen, ob der Hoster die Updates vom 21. Oktober eingespielt hat.
- Bei 8.1 oder älter auf eine aktuelle Version wechseln. Das ist selten ein einzelner Klick, weil ältere Plugins, Themes oder eigener Code unter PHP 8.3 oder 8.4 nicht mehr laufen.
Wobei ich Ihnen helfe
Der Wechsel auf eine neue PHP-Version scheitert selten am Server. Er scheitert an der Anwendung, die darauf läuft. Dort setze ich an.
- Prüfen. Ich sehe nach, welche Version bei Ihnen läuft, ob die Updates drauf sind und was einem Wechsel im Weg steht.
- Migrieren. Ich hebe Ihre Website oder Anwendung auf PHP 8.4 oder 8.5. Veraltete Funktionen ersetze ich, Erweiterungen aktualisiere ich, und alles läuft zuerst auf einer Testumgebung, bevor es live geht.
- Betreuen. Ich übernehme PHP-Anwendungen im laufenden Betrieb, auch solche, die ich nicht selbst gebaut habe. Updates spiele ich ein, sobald sie erscheinen. Bei der nächsten Lücke melde ich mich, wenn Ihre Anwendung betroffen ist.
Quellen: Sicherheitshinweis von php.net und Warnung der CISA, beide vom 21. Oktober 2026.