Kritische PHP-Lücken: Was Du jetzt für Deine Unternehmenswebseite tun solltest

Zwei kritische Sicherheitslücken in PHP können Angreifern ermöglichen, ohne Anmeldung Schadcode auf einem Webserver auszuführen. Das PHP-Team hat am 21. Oktober 2026 Sicherheitsupdates veröffentlicht. Wenn Deine Unternehmenswebseite PHP nutzt, lass Deinen Hosting-Anbieter oder Deine Webagentur prüfen, ob diese Updates bereits installiert sind.

Deine Webseite funktioniert? Das bedeutet leider nicht, dass sie sicher ist.

Kunden können Deine Leistungen aufrufen, Anfragen senden oder Bestellungen aufgeben. Trotzdem kann im Hintergrund Software laufen, die eine Sicherheitslücke enthält. Ob eine Webseite erreichbar ist, sagt wenig darüber aus, ob ihre technische Grundlage geschützt ist.

Die aktuellen PHP-Schwachstellen heißen CVE-2026-109618 und CVE-2026-109619. Beide wurden mit einem kritischen Schweregrad von 9,2 von 10 Punkten bewertet. Angreifer können sie unter bestimmten Voraussetzungen ausnutzen, ohne einen Benutzernamen oder ein Passwort zu kennen. Darüber berichtet auch Heise in seiner Meldung zu php2shell.

Das PHP-Team empfiehlt in seiner offiziellen Sicherheitsmeldung, betroffene Installationen umgehend zu aktualisieren.

Was ist PHP und warum betrifft das Deine Webseite?

PHP führt Funktionen auf dem Server aus, auf dem Deine Webseite liegt. Viele bekannte Webseiten-Systeme wie WordPress nutzen PHP, um Inhalte anzuzeigen oder Formulare zu verarbeiten.

Zu einer solchen Webseite gehören mehrere Bestandteile: der Webserver, PHP, die eigentliche Webseitensoftware und häufig zusätzliche Erweiterungen und Designs. Für diese Komponenten müssen Sicherheitsupdates eingeplant werden.

Ein WordPress-Update allein schließt die aktuellen PHP-Lücken nicht. Dafür muss auch die PHP-Installation auf dem Server aktualisiert werden. Je nach Hosting-Vertrag kümmert sich darum Dein Anbieter oder der Dienstleister, der den Server betreut.

Welche Folgen kann ein Angriff haben?

Wenn Angreifer Schadcode auf einem betroffenen Webserver ausführen können, hängen ihre Möglichkeiten von den Berechtigungen und dem Aufbau des Systems ab. Für Dein Unternehmen können daraus mehrere Probleme entstehen:

• Angreifer verändern Inhalte oder leiten Besucher auf betrügerische Webseiten um. Das kann das Vertrauen Deiner Kunden beschädigen.
• Sie missbrauchen die Webseite, um Schadsoftware zu verbreiten oder weitere Angriffe zu unterstützen.
• Sie greifen auf gespeicherte Daten oder Zugangsinformationen zu. Sind personenbezogene Daten betroffen, können datenschutzrechtliche Pflichten entstehen.
• Die Webseite fällt aus. Kundenanfragen und Bestellungen bleiben möglicherweise aus, während die Wiederherstellung Zeit und Geld kostet.

Ein erfolgreicher Angriff bedeutet nicht automatisch, dass jemand den gesamten Server kontrolliert. Schon der Zugriff auf eine einzelne Unternehmenswebseite kann erheblichen Schaden verursachen.

Welche Updates sind nötig?

Die veröffentlichten Versionen PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35 schließen die beiden Sicherheitslücken. Für unterstützte PHP-Versionen stehen damit Updates innerhalb der bestehenden Versionsreihe bereit. Ein größerer Versionswechsel ist dafür nicht in jedem Fall nötig. Manche Betriebssystemanbieter liefern die Korrekturen außerdem über eigene aktualisierte Pakete aus.

Anders kann es aussehen, wenn Deine Webseite noch PHP 8.1 oder eine ältere Version benötigt. Diese Versionen erhalten keine regulären Updates mehr vom PHP-Projekt. Einige Anbieter stellen weiterhin Sicherheitskorrekturen bereit. Lass deshalb prüfen, ob für Deine Installation ein passender Anbieter-Patch verfügbar ist oder ein Wechsel auf eine unterstützte PHP-Version nötig wird.

Bei einem solchen Wechsel können ältere Erweiterungen oder individuell programmierte Funktionen Anpassungen benötigen. Wenn die Webseite über Jahre kaum gewartet wurde, kann eine Aktualisierung dadurch aufwendiger werden.

Falls sich eine betroffene Installation nicht kurzfristig aktualisieren lässt, muss der zuständige Dienstleister geeignete Übergangsmaßnahmen prüfen. Dazu kann auch gehören, einen öffentlich erreichbaren Dienst vorübergehend vom Internet zu trennen. Das PHP-Team weist darauf hin, dass reine Konfigurationsänderungen das Sicherheitsupdate nicht vollständig ersetzen.

Was solltest Du als Geschäftsführer jetzt tun?

Du musst die technische Prüfung nicht selbst übernehmen. Sorge dafür, dass jemand sie verbindlich erledigt.

1. Lass prüfen, ob Deine Webseite betroffen ist. Frage Deinen Hosting-Anbieter oder Deine Webagentur, welche PHP-Version läuft und ob die Korrekturen für beide Sicherheitslücken installiert sind.
2. Prüfe den Wartungsstand der Webseite. Auch WordPress, Erweiterungen, Designs und andere Komponenten brauchen Updates. Kläre, wann sie zuletzt aktualisiert wurden.
3. Prüfe die Datensicherung. Für die Wiederherstellung nach einem Angriff oder einem fehlgeschlagenen Update brauchst Du eine funktionierende Sicherung.
4. Lege die Zuständigkeit fest. Wer kümmert sich um PHP und den Server, wer um die Webseitensoftware? Halte fest, ob Dein Hoster, Deine Webagentur oder Dein IT-Dienstleister diese Aufgaben übernimmt.
5. Lass kritische Sicherheitswarnungen zeitnah bearbeiten. Angreifer können verwundbare Systeme automatisiert suchen. Auch eine kleine Unternehmenswebseite kann betroffen sein, ohne dass jemand Dein Unternehmen gezielt ausgewählt hat.

Was das BSI für den laufenden Betrieb empfiehlt

Im BSI-Baustein zum Patch- und Änderungsmanagement beschreibt das Bundesamt für Sicherheit in der Informationstechnik, wie Unternehmen Updates organisieren sollten. Dazu gehören festgelegte Zuständigkeiten, die zeitnahe Bewertung und Installation von Patches sowie die Kontrolle, ob sie erfolgreich eingespielt wurden.

Für eine breitere Bestandsaufnahme der IT-Sicherheit bietet der CyberRisikoCheck für kleine und Kleinstunternehmen einen strukturierten Einstieg. Die konkrete Prüfung und Aktualisierung Deiner PHP-Installation muss trotzdem der zuständige Dienstleister durchführen.

Warum regelmäßige Webseitenwartung Aufwand sparen kann

Eine Webseite ist ein dauerhaft betriebenes IT-System. Wer die Software über Jahre nicht pflegt, riskiert Sicherheitslücken und aufwendige Nacharbeiten. Veraltete Erweiterungen müssen möglicherweise ersetzt oder individuell entwickelte Funktionen angepasst werden. Bei stark veralteter Technik kann auch eine Neuentwicklung nötig werden.

Regelmäßige Wartung hilft, solche Probleme früher zu erkennen und Aktualisierungen einzuplanen, bevor eine kritische Sicherheitswarnung zusätzlichen Zeitdruck erzeugt.

Unsicher, wer sich um Deine Webseite kümmert?

Bei Hainke Computer unterstützen wir Unternehmen dabei, ihre IT-Systeme und Webseiten sicher zu betreiben. Wenn Du nicht weißt, wie aktuell Deine Webseite ist oder wer ihre Sicherheitsupdates übernimmt, sprich uns an. Wir klären gemeinsam, ob Handlungsbedarf besteht und welche nächsten Schritte sinnvoll sind.

Schreib uns zur Sicherheit Deiner Webseite.