PHP-Sicherheitslücke: Echte Gefahr. Und plötzlich wollen alle deine Website retten.
Gestern war plötzlich Ausnahmezustand. Kritische Sicherheitslücken in PHP, Warnungen von Sicherheitsbehörden und die Empfehlung, Websites im Zweifelsfall sogar vorübergehend abzuschalten.
Und heute?
Heute gibt es Sicherheitsupdates. Es gibt mehr Informationen. Und es gibt natürlich auch Unternehmen, die ihre Hilfe anbieten. Das ist grundsätzlich gut.
Aber gerade bei solchen Ereignissen stellt sich für mich eine wichtige Frage:
Wer hilft dir tatsächlich, ein Problem zu lösen? Und wer versucht vor allem, mit deiner Verunsicherung Geld zu verdienen?
Was ist eigentlich passiert?
Am 20. Oktober 2026 wurde bekannt, dass in PHP zwei kritische Sicherheitslücken entdeckt wurden. PHP ist eine serverseitige Scriptsprache, auf der unter anderem WordPress und viele andere Websites basieren. Die beiden Schwachstellen tragen die Bezeichnungen CVE-2026-109618 und CVE-2026-109619. Beide wurden mit einem Schweregrad von 9,2 auf einer Skala bis 10 bewertet. Vereinfacht gesagt können diese Sicherheitslücken unter bestimmten Bedingungen dazu führen, dass Angreifer Schadcode auf einem Server ausführen können.
Und dafür ist nicht zwingend ein gültiger Benutzerzugang notwendig. Das ist ernst.
Am 21. Oktober wurden deshalb außerplanmäßige Sicherheitsupdates veröffentlicht. Es handelt sich also nicht um irgendeine theoretische Warnung, die man einfach ignorieren sollte.
Was bedeutet das für deine Website?
Zunächst einmal bedeutet es nicht, dass deine Website automatisch gehackt wurde. Und auch nicht, dass jede Website sofort abgeschaltet werden muss. Es bedeutet aber, dass überprüft werden sollte, welche PHP-Version auf deinem Webserver läuft und ob die Sicherheitskorrekturen bereits installiert wurden.
Wichtig ist dabei eine Unterscheidung:
PHP ist nicht WordPress.
Die Sicherheitslücken befinden sich in der serverseitigen Scriptsprache PHP. Ein WordPress-Update allein behebt diese Schwachstellen daher nicht. Auch das Aktualisieren sämtlicher Plugins ist keine Lösung für genau dieses Problem. WordPress, Plugins und Themes sollten selbstverständlich regelmäßig aktualisiert werden. Aber die aktuelle PHP-Sicherheitslücke muss auf der PHP-Ebene behoben werden.
Muss ich jetzt selbst ein Update installieren?
Das hängt davon ab, wo und wie deine Website betrieben wird. Wenn deine Website bei einem klassischen Webhosting-Anbieter liegt, kümmert sich normalerweise der Hoster um die Bereitstellung und Wartung der PHP-Umgebung.
Das bedeutet aber nicht automatisch, dass deine Website bereits eine korrigierte Version verwendet. Manche Anbieter aktualisieren PHP zentral. Bei anderen musst du möglicherweise selbst auf eine neue Version umstellen. Und bei einem eigenen Server bist du beziehungsweise dein technischer Betreuer für die Aktualisierung verantwortlich.
Deshalb ist mein erster Tipp: Frag deinen Hoster, bevor du wahllos Einstellungen veränderst.
Eine unüberlegte Umstellung auf eine andere PHP-Hauptversion kann nämlich auch Kompatibilitätsprobleme mit älteren Websites verursachen. Das Sicherheitsupdate ist dringend. Trotzdem sollte es kontrolliert durchgeführt werden.
Welche PHP-Versionen sind jetzt sicherer?
Am 21. Oktober wurden folgende Sicherheitsversionen veröffentlicht:
- PHP 8.2.35
- PHP 8.3.36
- PHP 8.4.27
- PHP 8.5.12
Diese Versionen enthalten die offiziellen Korrekturen für die beiden bekannt gewordenen Sicherheitslücken. Bei älteren PHP-Versionen ist besondere Vorsicht geboten. Es kann zwar sein, dass ein Hosting-Anbieter Sicherheitskorrekturen in eine ältere Version zurücküberträgt. Das muss er aber ausdrücklich bestätigen.
Die angezeigte Versionsnummer allein erzählt deshalb nicht immer die ganze Geschichte.
Wenn du im Hosting-Panel beispielsweise nur „PHP 8.4“ siehst, weißt du noch nicht, welcher konkrete Sicherheitsstand dahintersteckt.
Und jetzt beginnt das Geschäft mit der Angst.
Bei großen Sicherheitswarnungen passiert oft etwas Interessantes. Plötzlich tauchen Angebote auf, die versprechen, Websites sofort zu überprüfen, Sicherheitslücken zu schließen oder vollständige Sicherheit herzustellen.
Manchmal zu durchaus stolzen Preisen. Natürlich ist professionelle Unterstützung sinnvoll, wenn du dich technisch nicht auskennst oder einen eigenen Server betreibst. Aber nicht jedes Angebot ist automatisch notwendig.
Denn eine Sicherheitslücke in PHP wird nicht dadurch behoben, dass jemand deine WordPress-Website scannt und dir anschließend einen Bericht verkauft.
Eine technische Überprüfung kann sinnvoll sein, um den Zustand einer Website einzuschätzen. Sie ersetzt aber nicht das erforderliche PHP-Sicherheitsupdate. Und ein externer Dienstleister kann die PHP-Installation eines fremdverwalteten Hosting-Servers normalerweise auch nicht einfach selbst reparieren. Dafür ist in vielen Fällen der Hosting-Anbieter zuständig.
Woran erkennst du seriöse Unterstützung?
Für mich beginnt das mit einer einfachen Erklärung.
Ein seriöser Dienstleister sollte dir sagen können, was er konkret überprüft.
- Geht es um die installierte PHP-Version?
- Um die Rückmeldung des Hosting-Anbieters?
- Um eine Sicherheitskontrolle auf mögliche Auffälligkeiten?
- Oder um die technische Umstellung auf eine unterstützte PHP-Version?
Das sind unterschiedliche Leistungen. Und sie sollten auch entsprechend angeboten werden.
Misstrauisch wäre ich bei pauschalen Aussagen wie:
„Deine Website ist gefährdet. Wir müssen sofort alles reparieren.“
Oder bei Versprechen, eine Website nach einer einmaligen Prüfung vollständig abzusichern.
Hundertprozentige Sicherheit kann dir niemand garantieren. Und eine teure Prüfung ist nicht automatisch eine bessere Prüfung.
Was solltest du jetzt konkret tun?
Ich würde die nächsten Schritte in dieser Reihenfolge angehen.
1. Prüfe, welche PHP-Version verwendet wird.
Bei WordPress findest du Informationen dazu unter:
Werkzeuge → Website-Zustand → Info → Server
Dort wird normalerweise die verwendete PHP-Version angezeigt. Alternativ findest du die Information im Verwaltungsbereich deines Hosting-Anbieters.
2. Kläre den Sicherheitsstand mit deinem Hoster.
Frag konkret, ob die beiden Sicherheitslücken CVE-2026-109618 und CVE-2026-109619 für deine Website bereits behoben wurden.
Wenn dein Hoster eine ältere PHP-Version mit eigenen Sicherheitskorrekturen verwendet, lass dir bestätigen, dass die entsprechenden Patches enthalten sind.
3. Aktualisiere PHP, falls erforderlich.
Ist deine Installation noch betroffen, sollte das Sicherheitsupdate so schnell wie möglich eingespielt werden. Bei einem eigenen Server ist dafür der zuständige Administrator verantwortlich.
Bei klassischem Webhosting solltest du die bereitgestellten Aktualisierungsmöglichkeiten und Hinweise des Hosters nutzen.
4. Erstelle beziehungsweise überprüfe deine Backups.
Ein aktuelles Backup ist wichtig. Nicht nur wegen dieser Sicherheitslücken, sondern grundsätzlich.
Es sollte außerhalb des betroffenen Servers verfügbar und im Ernstfall wiederherstellbar sein.
Ein Backup allein schützt allerdings nicht vor einem Angriff.
5. Kontrolliere deine Website nach der Aktualisierung.
Funktionieren Formulare, Bestellungen, Kundenbereiche und andere wichtige Funktionen weiterhin?
Gerade bei älteren WordPress-Installationen können PHP-Versionswechsel zu Problemen führen.
6. Prüfe bei konkreten Verdachtsmomenten genauer.
Ungewöhnliche Dateien, verdächtige Administratorzugänge, unerwartete Weiterleitungen oder auffällige Serverprotokolle können Gründe für eine weitergehende Sicherheitsanalyse sein.
Eine solche Untersuchung ist etwas anderes als eine reine Versionskontrolle.
Und sie sollte nicht allein aufgrund einer allgemeinen Warnmeldung als zwingend notwendig verkauft werden.
Sollte ich meine Website vorsichtshalber abschalten?
Diese Empfehlung wurde tatsächlich von Sicherheitsstellen ausgesprochen – insbesondere für Systeme, bei denen eine schnelle Absicherung nicht möglich ist.
Das bedeutet aber nicht, dass jeder Betreiber seine Website grundsätzlich offline nehmen muss.
Wenn dein Hosting-Anbieter bestätigt, dass die notwendigen Sicherheitskorrekturen installiert sind, ist die Situation anders zu bewerten als bei einem öffentlich erreichbaren, ungepatchten Server.
Ist ein System weiterhin verwundbar und lässt sich nicht zeitnah absichern, kann eine vorübergehende Abschaltung oder Isolierung durchaus sinnvoll sein.
Entscheidend ist der tatsächliche Sicherheitsstand. Nicht die Lautstärke der Schlagzeilen.
Und wenn ich gar nicht weiß, was PHP ist?
Dann bist du vermutlich nicht allein.
Viele Unternehmer wollen sich um ihre Kunden kümmern und nicht darum, welche Scriptsprache auf ihrem Webserver läuft.
Das ist auch völlig verständlich. Genau dafür gibt es Hosting-Anbieter und technische Dienstleister. Du musst nicht selbst zum Sicherheitsexperten werden.
Aber du solltest wissen, wer für welchen Teil deiner Website verantwortlich ist.
Und du solltest nachvollziehen können, wofür du bei einer angebotenen Sicherheitsprüfung eigentlich bezahlst.
Eine echte Sicherheitslücke braucht eine echte Lösung.
Die PHP-Sicherheitslücken vom Oktober 2026 sind ernst zu nehmen. Die notwendigen Updates sind verfügbar.
Und Websitebetreiber sollten jetzt überprüfen, ob ihre Systeme tatsächlich abgesichert wurden.
Was sie meiner Meinung nach nicht brauchen, sind zusätzliche Panik und undurchsichtige Angebote.
Nicht jede Website braucht jetzt eine teure Sicherheitsanalyse. Aber jede betroffene PHP-Installation braucht die richtigen Sicherheitskorrekturen.
Manchmal reicht eine konkrete Rückfrage beim Hoster. Manchmal braucht es ein kontrolliertes Update.
Und manchmal ist tatsächlich eine umfassendere technische Untersuchung notwendig.
Der Unterschied lässt sich nur feststellen, wenn man sich die Situation genauer anschaut.
Ich schau mir das mal an.
Du bist unsicher, ob deine Website betroffen ist? Oder du hast ein Angebot für eine Sicherheitsprüfung erhalten und möchtest wissen, ob die vorgeschlagenen Maßnahmen sinnvoll sind?
Dann schauen wir uns gemeinsam an, welche PHP-Version eingesetzt wird, was dein Hosting-Anbieter bereits unternommen hat und ob weiterer Handlungsbedarf besteht.
→ Website technisch überprüfen lassen
Stand: 22. Oktober 2026. Die Einschätzung kann sich durch neue Sicherheitsinformationen verändern.
Quellen:
PHP.net – Offizielle Sicherheitsupdates vom 21. Oktober 2026