PHP-Sicherheitslücke: Was du jetzt tun solltest

Am 21. Oktober 2026 hat das PHP-Projekt zwei kritische Sicherheitslücken geschlossen. Über sie können Angreifer ohne Anmeldung Code auf deinem Webserver ausführen. Läuft deine Website auf WordPress, WooCommerce, Shopware oder einem anderen PHP-System, solltest du heute auf PHP 8.5.12, 8.4.27, 8.3.36 oder 8.2.35 aktualisieren lassen.

Stand: 21. Oktober 2026

Was ist passiert?

PHP hat zwei Lücken mit den Kennungen CVE-2026-109618 und CVE-2026-109619 geschlossen. Beide sind mit 9,2 von 10 Punkten als kritisch eingestuft.

Laut der Sicherheitsmeldung von PHP ist jede PHP-Installation betroffen, die Webanfragen verarbeitet. Das gilt für alle üblichen Varianten: PHP-FPM, Apache mit mod_php, php-cgi, FrankenPHP und LiteSpeed. Am größten ist das Risiko bei mod_php. Dort reicht eine einzige Anfrage, und der Angriff läuft, bevor der Code deiner Website überhaupt startet.

Auch das österreichische CERT.at warnt und rät, sofort zu aktualisieren.

Ist meine Website betroffen?

Wenn deine Website auf PHP läuft, ja, bis das Update eingespielt ist. PHP steckt unter WordPress, WooCommerce, Joomla, TYPO3, Contao, Shopware und vielen anderen Systemen.

Das betrifft viele Betriebe. In unserer Messung von 100 Wiener Firmenwebsites im Oktober 2026 liefen 42 auf WordPress.

Wichtig: Die Lücke steckt im Server, nicht in WordPress selbst. Ein WordPress-Update allein reicht deshalb nicht. Die PHP-Version auf dem Server muss neu sein.

Bei Baukästen wie Wix oder Jimdo betreibt der Anbieter den Server. Dort kannst und musst du nichts selbst einspielen.

Wie finde ich heraus, welche PHP-Version läuft?

In WordPress siehst du die Version in zwei Minuten:

1. Im WordPress-Dashboard auf Werkzeuge → Website-Zustand gehen.
2. Den Reiter Bericht öffnen.
3. Den Abschnitt Server aufklappen. Dort steht die PHP-Version.

Ohne WordPress findest du die Version meist im Kundenbereich deines Hosters, oft unter „PHP-Einstellungen“. Oder du fragst deinen Hoster bzw. deine Agentur direkt.

Sicher bist du ab PHP 8.5.12, 8.4.27, 8.3.36 oder 8.2.35.

Was, wenn das Update nicht sofort geht?

Dann kann dein Hoster oder Admin das Risiko senken, bis das Update drauf ist. Schließen lässt sich die Lücke so nicht. Die Sicherheitsmeldung von PHP nennt dafür diese Einstellungen:

• session.upload_progress.enabled = 0 setzen, in der php.ini oder der Pool-Konfiguration, nicht per ini_set().
• post_max_size auf 8M begrenzen, auf 32M, wenn die Website Datei-Uploads braucht.
• memory_limit = -1 über php_admin_value in FPM oder Apache setzen.
• Unter PHP 8.5 zusätzlich fatal_error_backtraces = 0.

Laut PHP ist nur das Update eine vollständige Lösung. Die Einstellungen ersetzen es nicht.

Was, wenn meine PHP-Version zu alt ist?

PHP 8.1 und älter bekommen vom PHP-Projekt keine Updates mehr. Manche Hoster und Linux-Anbieter liefern für alte Versionen eigene Korrekturen nach. Frag nach, ob das bei dir der Fall ist.

Wenn nicht, ist jetzt der Zeitpunkt für den Umstieg auf eine aktuelle Version. Mach vorher ein Backup. Alte Plugins und Themes laufen mit neuen PHP-Versionen nicht immer, das solltest du testen.

Sind Websites ohne PHP sicher?

Von dieser Lücke sind sie nicht betroffen. Automatisch sicher sind sie deshalb nicht.

Wir bauen unsere Websites mit Next.js, ohne PHP. Auch dort gab es im Dezember 2025 eine kritische Lücke, bekannt als „React2Shell“. Jede Technik braucht Updates.

Entscheidend ist, wer sie einspielt und wie schnell. Bei vielen Betrieben ist das unklar: Die Agentur hat die Website gebaut, der Hoster betreibt den Server, und zuständig fühlt sich niemand. Bei unseren Kunden spielen wir die Updates ein, das ist Teil der Betreuung.

Was du jetzt tun kannst

1. Prüf heute deine PHP-Version, wie oben beschrieben.
2. Frag deinen Hoster oder deine Agentur, ob auf PHP 8.5.12, 8.4.27, 8.3.36 oder 8.2.35 aktualisiert wurde. Lass dir das schriftlich bestätigen.
3. Läuft bei dir PHP 8.1 oder älter: Plan den Umstieg, mit Backup vorher.
4. Bring bei der Gelegenheit auch WordPress, Plugins und Theme auf den neuesten Stand.
5. Halt schriftlich fest, wer bei deiner Website künftig Updates einspielt.

Wenn du wissen willst, wo deine Seite steht, schauen wir sie uns im kostenlosen Sichtbarkeitscheck gemeinsam an.