PHP-Sicherheitslücke 2026.
Jetzt handeln.
Zwei kritische Sicherheitslücken können verwundbare PHP-Webserver gefährden. Die offiziellen Updates sind verfügbar. Erfahre, welche Versionen geschützt sind, was dein Hoster jetzt tun muss und wie du dein Unternehmen absicherst.
Der Stand vom 22. Oktober 2026
Was ist passiert – und wen betrifft es?
Das PHP-Sicherheitsteam hat am 21. Oktober 2026 Korrekturen für CVE-2026-109618 und CVE-2026-109619 veröffentlicht. Beide Schwachstellen können unter passenden Bedingungen die Ausführung fremden Codes ohne vorherige Anmeldung ermöglichen. Die europäischen Sicherheitsbehörden raten zur sofortigen Aktualisierung öffentlich erreichbarer PHP-Systeme.
PHP wird unter anderem von vielen WordPress-, WooCommerce-, Joomla- und anderen Webanwendungen genutzt. Eine PHP-basierte Website ist nicht automatisch gehackt. Ob Handlungsbedarf besteht, hängt vom eingesetzten Paketstand und den Korrekturen des Hosting-Anbieters ab. Reine Next.js- oder statische Seiten ohne PHP-Laufzeit sind durch diese konkreten PHP-Lücken nicht direkt betroffen.
Offizielle Sicherheitsupdates
Diese PHP-Versionen enthalten die Fixes.
Die Versionsnummern beziehen sich auf die offiziellen PHP-Releases vom 21.10.2026. Bei Distributionen mit Backports zählt die Sicherheitsbestätigung des jeweiligen Herstellers.
8.5.12
Patch veröffentlicht8.4.27
Patch veröffentlicht8.3.36
Patch veröffentlicht8.2.35
Patch veröffentlichtAlte PHP-Versionen: PHP 8.1 und ältere Releases erhalten vom PHP-Projekt keine regulären Sicherheitsupdates mehr. Einzelne Distributoren oder LTS-Anbieter können zurückportierte Korrekturen bereitstellen. Kläre den Supportstatus verbindlich mit deinem Hoster und plane ein Upgrade.
Praktische Checkliste
Vier Schritte, die jetzt wirklich zählen.
Du musst nicht raten, ob „alles wieder sicher“ ist. Entscheidend sind ein nachweisbarer Patchstand und die Prüfung möglicher Auffälligkeiten.
Technologie und Hoster identifizieren
Prüfe, ob die Website PHP verwendet. In WordPress findest du Hinweise unter Werkzeuge → Website-Zustand → Info → Server. Alternativ im Hosting-Panel oder direkt beim Anbieter nachfragen.
Sicherheitsupdate einspielen
PHP auf die gepatchte Version der eingesetzten Release-Reihe aktualisieren. Bei verwalteten Hosting-Paketen eine konkrete Bestätigung des Hosters einholen. Hersteller-Backports können von der Upstream-Versionsnummer abweichen.
Wenn kein Update möglich ist: isolieren
Bei nicht zeitnah behebbaren verwundbaren Systemen den betroffenen öffentlich erreichbaren Dienst vorübergehend abschalten oder isolieren. Eine WAF allein ist kein Ersatz für ein Sicherheitsupdate.
Auf Anzeichen einer Kompromittierung prüfen
Nach der Absicherung Zugriffs- und Fehlerprotokolle, verdächtige Dateien, ungewöhnliche Administratoren sowie andere Auffälligkeiten prüfen. Bei Verdacht auf einen Vorfall Fachleute und den Hoster einbeziehen.
Wichtig: Bei Anzeichen einer aktiven Kompromittierung keine Experimente an der Live-Website durchführen. Hoster oder qualifizierte Incident-Response-Fachleute einschalten, Beweise sichern und den betroffenen Dienst nötigenfalls isolieren.
Hunter & Closer · Passau · deutschlandweit digital
Nicht sicher, ob deine Website betroffen ist?
Schick uns die wichtigsten Eckdaten. Wir ordnen die Situation gemeinsam ein und besprechen, ob ein PHP-/Hosting-Update, ein technischer Dienstleister oder eine nachhaltige Website-Modernisierung der richtige Weg ist.
✓ Unverbindliche Erstklärung deines Anliegens
✓ Bestehende Website oder Hosting-Situation als Ausgangspunkt
✓ Sauberer nächster Schritt statt pauschaler Panikverkauf
Akuter Notfall? 0151 23348111 anrufen. Eine sofortige Erreichbarkeit oder Entstörung können wir nicht garantieren.
Sicherheitsanfrage · direkter Kontakt
Deine Website. Ein klarer nächster Schritt.
Für eine zeitnahe Kontaktaufnahme empfehlen wir WhatsApp oder einen Anruf. Keine Passwörter, Zugangscodes oder Kundendaten schicken.
Sicherheitsanfrage direkt an Hunter & Closer senden
Sende deine Angaben direkt über das Formular. Du erhältst eine Eingangsbestätigung per E-Mail, sobald der Versanddienst die Nachrichten angenommen hat. Gib keine Passwörter oder Zugangsdaten ein.
Häufige Fragen
Sicherheit braucht klare Antworten.
Sind alle WordPress-Websites betroffen?+
Nein. Die Lücken stecken in PHP und sind nicht WordPress-spezifisch. Relevant ist, ob und mit welcher verwundbaren PHP-Version die Website ausgeführt wird und ob der Betreiber oder Hoster die Sicherheitskorrektur eingespielt hat.
Welche PHP-Versionen schließen die Lücken?+
Das PHP-Projekt nennt PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35 als korrigierte Versionen. Linux-Distributoren und Langzeit-Support-Anbieter können die Fixes auch auf eigene Paketstände zurückportieren; deren Sicherheitshinweise sind maßgeblich.
Muss ich WordPress aktualisieren?+
Für diese konkreten PHP-Schwachstellen ist ein PHP-Update erforderlich; ein WordPress-Update allein behebt sie nicht. WordPress, Plugins und Themes sollten unabhängig davon aktuell gehalten werden.
Ist meine Seite bereits gehackt?+
Aus der Existenz der Sicherheitslücke lässt sich kein erfolgreicher Angriff auf deine Website ableiten. Ob ein Vorfall vorliegt, lässt sich nur anhand einer konkreten technischen Prüfung beurteilen.
Reicht eine Firewall oder Wartungsmodus?+
Nein, nicht als vollständige Lösung. Der PHP-Hersteller bezeichnet das Einspielen der Sicherheitsupdates als die sichere Maßnahme. Bei akuter Gefährdung den betroffenen Dienst bis zur Behebung isolieren.
Was bietet Hunter & Closer an?+
Wir nehmen deine Situation auf, helfen bei der Einordnung des technischen Handlungsbedarfs und besprechen passende nächste Schritte – beispielsweise eine Hosting-/PHP-Prüfung, die Koordination technischer Dienstleister oder eine Modernisierung. Ein erfolgreicher Scan, Patch oder eine Reaktionszeit wird durch die Anfrage nicht zugesichert.
Technik verstehen. Handlungsfähig bleiben.
Dein nächster Schritt ist nur eine Anfrage entfernt.
Stand: 22.10.2026 · Dieser Beitrag ersetzt keine individuelle Sicherheitsanalyse. Hunter & Closer ist nicht Herausgeber der amtlichen Warnungen und keine staatliche Meldestelle. Offizielle Quellen: PHP-Projekt, ENISA. Datenschutz.