Kritische PHP-Sicherheitslücke 2026: PHP- Version jetzt aktualisieren

Praxisratgeber für Website-, WordPress- und Serverbetreiber | Stand: 22. Oktober 2026

Am 21. Oktober 2026 hat das PHP-Projekt außerplanmäßige Sicherheitsupdates für zwei kritische Schwachstellen im PHP-Core veröffentlicht. Die Sicherheitslücken CVE-2026-109618 und CVE-2026-109619 können unter bestimmten Voraussetzungen eine nicht authentifizierte Remote Code Execution (RCE) ermöglichen. Beide Schwachstellen werden mit CVSS 9,2 (Critical) bewertet. Website- und Serverbetreiber sollten deshalb kurzfristig prüfen, welche PHP-Version eingesetzt wird, und verwundbare Installationen aktualisieren.

Das Wichtigste in Kürze

• Betroffen sind PHP-Installationen, die Webanfragen verarbeiten, darunter PHP-FPM, Apache mit mod_php, php-cgi, FrankenPHP und LiteSpeed.
• Als abgesicherte Versionen wurden PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35 veröffentlicht.
• PHP 8.1 und ältere Zweige sind End-of-Life; hier sollte auf eine unterstützte PHP-Version migriert werden.
• Ein WordPress-, Plugin- oder Theme-Update allein behebt die Schwachstellen nicht, weil das Problem im PHP-Core liegt.
• Firewalls und WAF-Regeln können das Risiko reduzieren, ersetzen das PHP-Update aber nicht.
• Nach dem Update sollten Website-Funktionen und Logs geprüft werden. Bei länger ungepatchten, öffentlich erreichbaren Systemen ist zusätzlich ein Sicherheitscheck sinnvoll.

Was ist bei PHP2Shell passiert?

Die beiden Schwachstellen werden in der Sicherheitscommunity häufig unter dem Namen „PHP2Shell“ zusammengefasst. Technische Informationen zu den Schwachstellen wurden vor dem ursprünglich geplanten Veröffentlichungstermin öffentlich. Das PHP-Projekt zog die Veröffentlichung der Sicherheitsupdates deshalb vor. Besonders kritisch ist, dass es sich um Fehler im PHP-Core und nicht um eine einzelne Erweiterung, ein WordPress-Plugin oder ein bestimmtes CMS handelt. PHP läuft serverseitig unter Anwendungen wie WordPress, WooCommerce, Drupal, Joomla oder individuellen PHP-Anwendungen. Eine verwundbare PHP-Laufzeit kann deshalb ein Problem darstellen, obwohl WordPress und sämtliche Plugins aktuell sind.

Welche PHP-Versionen sind sicher?

Entscheidend ist die vollständige Versionsnummer. „PHP 8.3“ allein ist keine ausreichende Aussage: PHP 8.3.35 liegt beispielsweise vor dem veröffentlichten Fix, während PHP 8.3.36 den Sicherheitsfix enthält.

Warum ist die Sicherheitslücke so gefährlich?

Remote Code Execution bedeutet, dass ein erfolgreicher Angreifer Code im Kontext des betroffenen PHP-/Webserver-Prozesses ausführen kann. Für die beiden aktuellen Schwachstellen ist dabei besonders relevant, dass ein Angriff ohne vorherige Anmeldung möglich sein kann. Das potenzielle Schadensbild reicht deshalb deutlich über einen normalen Fehler in einer Website hinaus.

• Manipulation oder Defacement der Website
• Installation von Backdoors oder Webshells
• Zugriff auf Konfigurationsdateien und darin gespeicherte Zugangsdaten
• Zugriff auf Datenbanken oder sensible Anwendungsdaten, abhängig von den Serverrechten
• SEO-Spam,Weiterleitungen oder Malware
• Missbrauch des Servers für Spam oder weitere Angriffe
• Ausfall der Website und aufwendige Incident-Response-Maßnahmen

Ist WordPress betroffen?

WordPress ist nicht die Ursache der Schwachstelle. WordPress wird jedoch in der Regel mit PHP ausgeführt. Läuft eine WordPress-Website auf einer verwundbaren PHP-Version, kann die darunterliegende PHP-Laufzeit betroffen sein. Deshalb reicht es nicht, lediglich WordPress, Plugins und Themes zu aktualisieren.

Vereinfacht lautet die technische Kette: Internet → Webserver → PHP → WordPress/CMS. Das aktuelle Sicherheitsproblem befindet sich auf der PHP-Ebene.

PHP-Version aktualisieren: Schritt-für-Schritt

1. Aktuelle PHP-Version feststellen

Prüfen Sie zunächst, welche PHP-Version die konkrete Website tatsächlich verwendet. Bei WordPress finden Sie die Information häufig unter Werkzeuge → Website-Zustand → Bericht → Server. Alternativ kann die Version im Hosting-Panel, in Plesk/cPanel oder per Serveradministration geprüft werden. Achtung: Auf einem Server können mehrere PHP-Versionen parallel installiert sein.

2. Backup erstellen

Vor Änderungen sollte ein aktuelles vollständiges Backup vorhanden sein. Bei WordPress gehören dazu mindestens Datenbank und Dateien. Bei geschäftskritischen Websites sollte außerdem klar sein, wie das Backup kurzfristig wiederhergestellt werden kann.

3. Kompatibilität prüfen

Ein reines Patch-Update innerhalb eines Zweigs, beispielsweise 8.3.35 auf 8.3.36, ist normalerweise weniger eingriffsintensiv als eine Migration von PHP 7.4 oder 8.1 auf einen aktuellen Zweig. Bei größeren Hanseranking | PHP-Sicherheitsratgeber | Stand 22.10.2026

Versionssprüngen sollten CMS, Plugins, Theme, individuelle Erweiterungen und Schnittstellen vorher auf Kompatibilität geprüft werden.

4. PHP aktualisieren

Aktualisieren Sie auf mindestens PHP 8.5.12, 8.4.27, 8.3.36 oder 8.2.35. Bei Managed Hosting erfolgt die Umstellung häufig im Kunden- oder Hosting-Panel. Bei selbst administrierten Servern sollten die vom Betriebssystem beziehungsweise Distributor bereitgestellten Sicherheitsupdates eingespielt werden. Distributionen können Sicherheitsfixes auch als Backport ausliefern; deshalb ist dort zusätzlich die Paket-/Security-Dokumentation des Distributors maßgeblich.

5. PHP-Worker beziehungsweise Dienste neu starten

Nach einem Serverupdate müssen je nach Umgebung PHP-FPM, Apache, LiteSpeed oder andere beteiligte Dienste neu gestartet beziehungsweise Worker erneuert werden. Das ist besonders wichtig, wenn zuvor temporäre Konfigurationsänderungen vorgenommen wurden.

6. Website vollständig testen

Prüfen Sie nicht nur die Startseite. Testen Sie Backend/Login, Formulare, Suche, Datei-Uploads, Cronjobs und zentrale individuelle Funktionen. Bei WooCommerce sollten Warenkorb, Checkout, Payment, Bestell-E-Mails und gegebenenfalls Schnittstellen geprüft werden.

7. Logs und Sicherheitsstatus kontrollieren

Kontrollieren Sie nach der Aktualisierung PHP-/Webserver-Fehlerlogs und bei zuvor verwundbaren öffentlichen Systemen zusätzlich Zugriffs- und Sicherheitslogs. Ein Patch verhindert die weitere Ausnutzung der behobenen Schwachstellen, beseitigt aber keine möglicherweise bereits vorhandene Kompromittierung.

Was passiert, wenn PHP nicht aktualisiert wird?

Eine öffentlich erreichbare, verwundbare PHP-Installation sollte nicht einfach bis zum nächsten regulären Wartungstermin weiterbetrieben werden. Die offiziellen PHP-Hinweise stufen die beiden Schwachstellen als kritisch ein und empfehlen ein sofortiges Update. Sicherheitsbehörden raten ebenfalls zu einer kurzfristigen Behebung.

Das konkrete Risiko hängt von PHP-Version, Server-Setup, Webserver, Rechten, Isolation und weiteren Schutzmaßnahmen ab. Im schlimmsten Fall kann eine erfolgreiche RCE jedoch zur Kompromittierung der Website beziehungsweise des PHP-Prozesses und anschließend zu Datenzugriff, Manipulation oder weiteren Angriffsschritten führen.

Reicht Cloudflare oder eine Web Application Firewall?

Eine WAF kann bekannte Angriffsmuster blockieren und ist eine sinnvolle zusätzliche Schutzschicht. Sie sollte bei diesen Schwachstellen jedoch nicht als Ersatz für das PHP-Update betrachtet werden. Das PHP-Projekt weist ausdrücklich darauf hin, dass es keine vollständige Mitigation gibt und das Update die sichere Lösung ist.Hanseranking | PHP-Sicherheitsratgeber | Stand 22.10.2026

Was tun, wenn ein Update nicht sofort möglich ist?

Wenn eine Anwendung nicht unmittelbar aktualisiert werden kann, sollte der zuständige Administrator oder Hostinganbieter eingeschaltet werden. Je nach Risikoprofil können temporäre technische Mitigationsmaßnahmen, eine stärkere Abschottung oder im Extremfall das vorübergehende Offline-Nehmen eines verwundbaren Systems sinnvoll sein. Solche Maßnahmen sind jedoch Übergangslösungen und sollten nicht als dauerhafter Ersatz für den Patch verstanden werden.

Wann sollte zusätzlich nach einer Kompromittierung gesucht werden?

Bei Systemen, die nach Bekanntwerden der Schwachstellen länger öffentlich erreichbar und ungepatcht waren, sollte abhängig von Schutzbedarf und Exposition ein Incident-Check erwogen werden. Insbesondere auffällige neue Dateien, unbekannte Administratoren, veränderte PHP-Dateien, ungewöhnliche Cronjobs, verdächtige Prozesse, ungewöhnliche Requests oder unerwarteter ausgehender Traffic können Anlass für eine genauere Untersuchung sein.

Datenschutz und DSGVO

Das bloße Vorhandensein einer Sicherheitslücke ist nicht automatisch eine meldepflichtige Datenschutzverletzung. Gibt es jedoch Anhaltspunkte dafür, dass ein Angreifer personenbezogene Daten eingesehen, verändert, übertragen oder anderweitig kompromittiert hat, muss der Vorfall aus datenschutzrechtlicher Sicht bewertet und dokumentiert werden. Bei einem konkreten Sicherheitsvorfall sollten Datenschutz- und IT-Sicherheitsverantwortliche frühzeitig eingebunden werden.

Checkliste für Websitebetreiber

☐ PHP-Version der tatsächlich ausgelieferten Website prüfen

☐ Bei verwundbarer Version kurzfristig patchen beziehungsweise migrieren

☐ Vor Änderungen vollständiges Backup erstellen

☐ Bei größeren PHP-Sprüngen Kompatibilität prüfen

☐ Nach dem Update zentrale Website-Funktionen testen

☐ PHP- und Webserver-Logs kontrollieren

☐ Bei verdächtigen Anzeichen Sicherheitsanalyse durchführen

☐ Für EOL-PHP-Versionen einen dauerhaften Migrationsplan erstellen

Fazit

Die im Oktober 2026 veröffentlichten PHP-Schwachstellen sind kein gewöhnliches Plugin-Problem. Da die Fehler direkt im PHP-Core liegen und nicht authentifizierte Remote Code Execution ermöglichen können, sollten Betreiber öffentlich erreichbarer PHP-Websites zeitnah handeln. Der wichtigste Schritt ist die Aktualisierung auf eine abgesicherte, unterstützte PHP-Version. Anschließend sollten Website und Logs kontrolliert werden. Wer noch einen End-of-Life-PHP-Zweig einsetzt, sollte das Ereignis zum Anlass nehmen, die technische Basis dauerhaft zu modernisieren.

Quellen und weiterführende Hinweise

• PHP Project: Security advisory – Critical remote code execution vulnerabilities, 21.10.2026, php.net.
• PHP Project: Security releases PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35, 21.10.2026.
• PHP Foundation: Informationen zur vorgezogenen Veröffentlichung und zum koordinierten Disclosure-Prozess, Oktober 2026.
• ENISA / europäische Cybersecurity-Stellen: Joint Statement on critical PHP vulnerabilities, Oktober 2026.
• NHS England Digital / NCSC guidance: Critical Vulnerabilities in PHP (PHP2Shell), 21.10.2026.
• Ubuntu Security: php2shell – vulnerability fixes available, 21.10.2026.

Redaktioneller Stand: 22.10.2026. Bei einem schnelllebigen Sicherheitsereignis sollten technische Versionsangaben und Herstellerhinweise vor Veröffentlichung beziehungsweise bei späteren Updates erneut geprüft werden.