Kritische PHP-Sicherheitslücken: Was Betreiber von Websites, Webspaces und Servern jetzt tun sollten

NETPROM · Stand: 21. Oktober 2026

Eine Website kann normal funktionieren und trotzdem eine gefährliche Sicherheitslücke aufweisen. Genau deshalb sollten Unternehmen die aktuelle PHP-Warnung ernst nehmen: Am 21. Oktober 2026 wurden Sicherheitsupdates für zwei kritische Schwachstellen veröffentlicht. Unter bestimmten Voraussetzungen können Angreifer darüber ohne vorherige Anmeldung eigenen Programmcode auf dem Server ausführen. Das PHP-Projekt fordert zur unverzüglichen Aktualisierung auf. Offizielle PHP-Sicherheitsmeldung

PHP ist die technische Grundlage vieler Websites und Webanwendungen. Die Software arbeitet auf dem Server im Hintergrund, beispielsweise beim Verarbeiten von Formularen oder beim Erzeugen dynamischer Seiten. Websitebetreiber begegnen ihr häufig nur als Versionsauswahl im Kundenbereich ihres Hostinganbieters.

Die aktuellen Fehler betreffen diese technische Grundlage. Deshalb reicht es nicht aus, ausschließlich WordPress, Plugins oder Themes zu aktualisieren.

Was hinter den Sicherheitslücken steckt

Die beiden Schwachstellen tragen die Kennungen CVE-2026-109618 und CVE-2026-109619. Beide sind mit 9,2 von 10 Punkten nach dem Bewertungssystem CVSS 4.0 als kritisch eingestuft.

Vereinfacht erklärt geht es um Fehler beim Umgang mit Arbeitsspeicher und internen Daten:

• Bei der ersten Lücke kann PHP nach einem Speicherfehler mit unvollständig vorbereiteten Daten weiterarbeiten.
• Bei der zweiten können Verweise auf bereits freigegebenen Speicher erhalten bleiben und bei einer späteren Anfrage erneut verwendet werden.

Mit gezielt präparierten Anfragen können Angreifer solche Zustände ausnutzen. Erfolgreiche Angriffe ermöglichen die Ausführung von Code mit den Berechtigungen des betroffenen PHP-Prozesses. Je nach dessen Zugriffsrechten können dadurch beispielsweise Website-Dateien und vertrauliche Anwendungsdaten gefährdet sein. Das bedeutet allerdings nicht automatisch, dass ein Angreifer vollständige Administratorrechte auf dem gesamten Server erhält. Technische Meldung zu CVE-2026-109618, technische Meldung zu CVE-2026-109619

Auch gemieteter Webspace gehört zur Prüfung

Die Warnung betrifft PHP-Installationen, die Webanfragen verarbeiten. Dazu zählen unterschiedliche Betriebsarten, darunter PHP-FPM, Apache mit mod_php und LiteSpeed. Das PHP-Team bewertet das Risiko bei mod_php besonders hoch: Dort wurde ein Angriff nachgewiesen, der bereits vor der Ausführung des eigentlichen Website-Codes ansetzt. PHP-Sicherheitsmeldung

Damit sollten auch Betreiber kleiner Firmenwebsites und gemieteter Webspaces ihren Aktualisierungsstand klären. Wer keinen eigenen Server verwaltet, benötigt vor allem eine verlässliche Auskunft des Hostinganbieters.

Diese PHP-Versionen enthalten die Korrekturen

Für die unterstützten Versionsreihen wurden folgende Sicherheitsupdates veröffentlicht:

PHP-Versionsreihe	Korrigierte Version
PHP 8.2	8.2.35
PHP 8.3	8.3.36
PHP 8.4	8.4.27
PHP 8.5	8.5.12

Diese Angaben beziehen sich auf die offiziellen PHP-Veröffentlichungen. PHP-Releaseübersicht

Eine Besonderheit gilt bei Linux-Distributionen und spezialisierten Wartungsanbietern: Sie können Sicherheitskorrekturen in ältere Versionsstände zurückübertragen. Die angezeigte PHP-Versionsnummer allein entscheidet dann nicht über den Schutz. Maßgeblich sind die vollständige Paketversion und die Sicherheitsbestätigung des Anbieters. Ubuntu hat beispielsweise eigene korrigierte Pakete für diese Schwachstellen veröffentlicht. Ubuntu-Sicherheitsmeldung USN-8948-1

Was NETPROM Websitebetreibern empfiehlt

1. Hostinganbieter gezielt kontaktieren. Lassen Sie bestätigen, ob beide genannten Sicherheitslücken für Ihren Webspace geschlossen wurden. Fragen Sie nach dem installierten Sicherheitsstand und danach, ob Sie selbst eine Einstellung ändern müssen.
2. Alle Websites berücksichtigen. Prüfen Sie auch Subdomains, ältere Installationen und Testumgebungen. Eine aktualisierte Hauptwebsite sagt noch nichts über weitere Anwendungen im selben Hostingpaket aus.
3. Datensicherung und Wiederherstellung prüfen. Vor Änderungen sollten aktuelle Sicherungen von Dateien und Datenbanken verfügbar sein. Klären Sie auch, wie diese bei Problemen wiederhergestellt werden können.
4. Nach der Aktualisierung Funktionen testen. Kontrollieren Sie insbesondere Anmeldung, Kontaktformulare, Uploads und gegebenenfalls den Bestellprozess. Ein erreichbarer Startbildschirm allein ist noch kein ausreichender Funktionstest.

Eine konkrete Anfrage an den Hoster kann lauten: „Sind CVE-2026-109618 und CVE-2026-109619 für sämtliche PHP-Installationen meines Hostingpakets behoben? Bitte bestätigen Sie den eingesetzten Sicherheitsstand und gegebenenfalls erforderliche Schritte meinerseits.“

Was bei eigenen Servern zusätzlich wichtig ist

Serververantwortliche sollten sämtliche verwendeten PHP-Pakete und Laufzeitumgebungen erfassen und aktualisieren. Dazu gehören auch separat installierte PHP-Versionen und PHP innerhalb von Containern.

Prüfen Sie anschließend, ob die tatsächlich für Webanfragen zuständigen Prozesse den korrigierten Stand verwenden. Eine Versionsprüfung auf der Kommandozeile kann eine andere Installation anzeigen als diejenige, mit der die Website läuft. Erforderliche Neustarts oder der Austausch laufender Container gehören deshalb zur Umsetzung.

Planen Sie außerdem den Wechsel veralteter Versionsreihen: PHP 8.1 und ältere Versionen erhalten vom PHP-Projekt keine regulären Sicherheitsupdates mehr. Für PHP 8.2 endet die Sicherheitsunterstützung am 31. Dezember 2026. Abweichende Wartungszusagen eines Anbieters sollten konkret belegt sein. PHP-Supportübersicht

Übergangsmaßnahmen ersetzen das Update nicht

Für bestimmte Angriffswege nennt das PHP-Team vorübergehende Konfigurationsmaßnahmen. Einen vollständigen Schutz bieten sie nicht. Solche Anpassungen sollten Fachleute anhand der konkreten Serverumgebung beurteilen; pauschale Änderungen aus Foren sind keine verlässliche Lösung. Auch unauffällige Protokolle beweisen nicht, dass eine Installation sicher ist. Technische Sicherheitshinweise des PHP-Projekts

Bei verdächtigen Dateiänderungen, unbekannten Benutzerkonten oder unerklärlichen Weiterleitungen sollte zusätzlich eine Untersuchung erfolgen. Ein Sicherheitsupdate beseitigt die Schwachstelle, entfernt aber nicht automatisch bereits eingeschleuste Schadsoftware.

Für die dauerhafte Betreuung empfiehlt NETPROM eine einfache, verbindliche Übersicht: Welche Websites und PHP-Versionen werden betrieben, wer installiert Sicherheitsupdates und wer kontrolliert das Ergebnis? Damit wird aus einer allgemeinen Warnmeldung eine klar zugewiesene Aufgabe.

Sie möchten die technische Betreuung Ihrer Website besser organisieren? Über NETPROM können Sie Ihre Situation und den Unterstützungsbedarf besprechen.