Eine kritische PHP-Sicherheitslücke wurde öffentlich bekannt, die Sorge vor Missbrauch verbreitete sich schnell, und viele Organisationen haben sofort Maßnahmen ergriffen. Für Unternehmerinnen und Unternehmer ist das verwirrend, denn PHP läuft im Hintergrund unzähliger Websites, Onlineshops und WordPress-Installationen.
Was genau ist die PHP-Sicherheitslücke?
Es geht um zwei kritische PHP-Sicherheitslücken, die nach Angaben der Entwickler für die Ausführung von Code aus der Ferne ohne Authentifizierung (unauthenticated remote code execution) ausgenutzt werden können. Vereinfacht gesagt: Ein Angreifer kann auf einem verwundbaren Server schädlichen Code ausführen, ohne ein gültiges Konto zu besitzen. Genau das macht solche Lücken so gravierend.
Laut dem offiziellen Sicherheitshinweis von PHP wurden am 21. Oktober 2026 Sicherheitsupdates für die Versionen PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35 veröffentlicht. Die Entwickler sind hier eindeutig: Es gibt keine vollständige Übergangslösung, wirklich sicher ist nur das Update. Details finden Sie im offiziellen Sicherheitshinweis von PHP.
Warum hat die Lücke so viel Besorgnis ausgelöst?
Die Wirkung ergab sich vor allem aus drei Faktoren, die zusammentrafen. Erstens läuft PHP auf einem sehr großen Teil des Webs. Zweitens wurde die Lücke bereits breit diskutiert, bevor der offizielle Patch erschien. Drittens waren die möglichen Folgen so groß, dass manche Organisationen kein Risiko eingehen wollten und ihre Systeme vorübergehend mit zusätzlichen Maßnahmen schützten oder sogar vom Netz nahmen.
Dadurch entstand im Netz in kurzer Zeit viel Informationsrauschen. Übergangslösungen, voneinander unabhängige Ratschläge und technische Debatten machten die Runde. Der Kern blieb jedoch immer gleich: Läuft Ihr Server auf einer verwundbaren PHP-Version, muss der Patch so schnell wie möglich eingespielt werden.
Welche Websites sind gefährdet?
Nach Angaben von PHP betrifft das Risiko PHP-Installationen, die Webverkehr verarbeiten, darunter PHP-FPM, Apache mit mod_php, php-cgi, FrankenPHP und LiteSpeed. Betroffen sind also nicht nur individuell entwickelte Anwendungen, sondern auch viele bekannte Systeme, die auf PHP laufen, etwa WordPress und WooCommerce.
Wichtig zu verstehen: Das Problem liegt nicht in WordPress oder in einem Plugin, sondern in der darunterliegenden PHP-Ebene. Deshalb kann eine Website im Frontend völlig normal aussehen, während der Server im Hintergrund trotzdem verwundbar ist. Genau aus diesem Grund ist technische Wartung so wichtig.
Was ist bisher gelöst?
Die gute Nachricht: PHP hat Sicherheitsupdates veröffentlicht. Damit geht es nicht mehr ums Abwarten, sondern darum, den Patch korrekt einzuspielen und zu prüfen. Eine Umgebung gilt also nicht schon deshalb als sicher, weil „irgendetwas unternommen“ wurde; sicher ist sie erst, wenn tatsächlich die aktualisierte, richtige PHP-Version läuft.
Bei solchen Vorfällen zählt Geschwindigkeit: zuerst den Zugriff einschränken, dann den Patch einspielen und anschließend prüfen, ob alles stabil läuft. Wie wir bei Kantex dabei vorgehen, lesen Sie in unserem Beitrag So schützen wir Ihre Website vor der PHP-Sicherheitslücke.
Es handelt sich um zwei kritische PHP-Sicherheitslücken, die es Angreifern ermöglichen könnten, auf einem verwundbaren Server ohne Konto Code auszuführen. Deshalb wurde sie als sehr schwerwiegend eingestuft.
Ja, PHP hat am 21. Oktober 2026 Sicherheitsupdates für die unterstützten Versionen veröffentlicht. Das heißt jedoch nicht, dass die Lücke überall automatisch geschlossen ist; das Update muss tatsächlich auf Ihrem Server installiert sein.
Möglicherweise, denn WordPress läuft in der Regel auf PHP. Das Problem liegt nicht in WordPress selbst, sondern in der PHP-Ebene des Servers. Wurde diese Ebene nicht gepatcht, kann Ihre Website trotzdem gefährdet sein.
Nein, nach Angaben der PHP-Entwickler gibt es keine vollständige Übergangslösung. Übergangsmaßnahmen können das Risiko verringern, echten Schutz bietet aber nur das Update auf eine sichere Version.
Fragen Sie umgehend nach, auf welcher PHP-Version Ihre Website läuft und ob das Sicherheitsupdate vom 21. Oktober 2026 eingespielt wurde. Sind Sie unsicher, lassen Sie das sofort von Ihrem Hosting-Anbieter oder dem Team prüfen, das Ihre Website betreut.
