Das Bundesamt für Sicherheit in der Informationstechnik hat am 21. Oktober 2026 vor zwei kritischen Sicherheitslücken in PHP gewarnt. Unternehmen sollten umgehend prüfen lassen, ob ihre Webanwendungen betroffen sind und die erforderlichen Sicherheitsupdates bereits installiert wurden. Die Schwachstellen können es Angreifern ermöglichen, ohne vorherige Anmeldung eigenen Schadcode auf einem Server auszuführen.
Inzwischen stehen Sicherheitsupdates bereit. Entscheidend ist jetzt, dass sie auch auf den tatsächlich genutzten Systemen ankommen. Ein aktuelles WordPress allein reicht dafür nicht aus.
Was PHP mit Ihrer Unternehmenswebsite zu tun hat
PHP ist eine Programmiersprache, die auf dem Server hinter einer Website arbeitet. Anwendungen wie WordPress oder Nextcloud nutzen sie, um Inhalte bereitzustellen und Anfragen zu verarbeiten.
Damit gibt es verschiedene Ebenen, die jeweils eigene Updates benötigen. Die Webagentur pflegt möglicherweise die Website und ihre Erweiterungen, während die Hostingfirma die PHP-Umgebung betreibt. Wer im Verwaltungssystem seiner Website alle verfügbaren Updates installiert hat, kann deshalb trotzdem eine verwundbare PHP-Version verwenden.
Die aktuellen Schwachstellen betreffen diese technische Umgebung. Das PHP-Entwicklungsteam beschreibt Angriffswege, die bereits vor der Ausführung des eigentlichen Anwendungscodes ansetzen. Ein Update der Website oder ihrer Erweiterungen ersetzt das PHP-Sicherheitsupdate daher nicht.
Auch weitere Webanwendungen gehören auf die Prüfliste
Bei der Prüfung sollte der Blick über die öffentliche Unternehmenswebsite hinausgehen. Auch ein Onlineshop oder eine selbst betriebene Nextcloud kann PHP verwenden. Ob ein konkretes System noch verwundbar ist, hängt von der eingesetzten PHP-Umgebung und den bereits installierten Sicherheitskorrekturen ab.
Eine weiterhin erreichbare und scheinbar fehlerfrei funktionierende Website ist keine Bestätigung dafür, dass die Lücken geschlossen sind. Ebenso bedeutet eine betroffene PHP-Version für sich genommen noch keinen Nachweis, dass bereits ein Angriff stattgefunden hat.
Was Unternehmen jetzt veranlassen sollten
Wir empfehlen, die Prüfung umgehend anzustoßen und sich das Ergebnis schriftlich bestätigen zu lassen. Dafür müssen Sie selbst keine PHP-Kenntnisse mitbringen.
- Technische Zuständigkeit klären. Wenden Sie sich an die Hostingfirma oder die Webagentur. Bei selbst betriebenen Anwendungen übernimmt die zuständige IT-Betreuung die Prüfung. Beziehen Sie weitere PHP-Anwendungen Ihres Unternehmens ausdrücklich mit ein.
- Nach den konkreten Sicherheitskorrekturen fragen. Bitten Sie um Bestätigung, dass die eingesetzten Systeme gegen CVE-2026-109618 und CVE-2026-109619 abgesichert sind. Diese Kennungen bezeichnen die beiden aktuellen Schwachstellen. Eine allgemeine Rückmeldung wie „Die Website ist aktuell“ lässt offen, ob auch PHP geprüft wurde.
- Update und Funktionsprüfung abstimmen. Vor dem Eingriff sollte eine aktuelle Datensicherung vorliegen. Die technische Betreuung sollte die Sicherheitskorrekturen ohne vermeidbare Verzögerung installieren und anschließend wichtige Funktionen testen, etwa Kontaktformulare oder den Bestellprozess eines Shops.
- Offene Systeme bis zur Korrektur absichern lassen. Falls ein sofortiges Update scheitert, muss die technische Betreuung vorübergehende Zugriffsbeschränkungen bis hin zur Abschaltung prüfen. Ersatzmaßnahmen bieten laut PHP-Projekt keinen vollständigen Schutz und ersetzen das Update nicht.
Welche PHP-Versionen die Korrekturen enthalten
Das PHP-Projekt hat die Sicherheitskorrekturen mit den Versionen 8.2.35, 8.3.36, 8.4.27 und 8.5.12 veröffentlicht. Je nach Hostingumgebung können auch entsprechend korrigierte Pakete einer Linux-Distribution zum Einsatz kommen. Deshalb sollte die technische Betreuung den tatsächlichen Sicherheitsstand bestätigen.
Für ältere PHP-Versionen ist besondere Aufmerksamkeit nötig. PHP 8.1 und ältere Entwicklungszweige erhalten vom PHP-Projekt keine regulären Sicherheitsupdates mehr. Teilweise stellen andere Firmen zurückportierte Korrekturen bereit. Die weitere Nutzung muss deshalb gezielt geprüft und der Wechsel auf eine unterstützte Version eingeplant werden.
Wie wir Sie dabei unterstützen
Wir betreuen üblicherweise Ihre interne IT. Ihre Website und das Webhosting liegen häufig bei einer anderen Firma, weshalb wir das PHP-Update dort nicht selbst durchführen können. Wir helfen Ihnen, die zuständige Stelle zu ermitteln und deren Rückmeldung technisch einzuordnen.
Für die Geschäftsführung liegt die wichtigste Aufgabe darin, eine belastbare Rückmeldung einzuholen. Erst die Bestätigung zur tatsächlich eingesetzten PHP-Umgebung klärt, ob die erforderliche Korrektur erfolgt ist.