PHP-Sicherheitslücke 2026: Was der aktuelle Vorfall für deine Website bedeutet

Unter den Kennungen CVE-2026-109618 und CVE-2026-109619 wurden zwei Schwachstellen bekannt, über die Angreifer aus der Ferne eigenen Code auf betroffenen Servern ausführen konnten, ganz ohne Passwort oder Login. Sicherheitsforscher von Unternehmen wie Qualys, Rapid7 und Akamai stuften beide Lücken als kritisch ein und riefen zum sofortigen Patchen auf. Kurz danach folgte eine Warnung der US-Behörde CISA, die Unternehmen weltweit zum dringenden Update aufforderte. Mehrere Kommunen und Einrichtungen in Deutschland legten vorsorglich Teile ihrer Online-Dienste still, bis das Sicherheitsupdate eingespielt war. Laut Presseberichten vom 22. Oktober waren einige betroffene Websites auch am Folgetag noch nicht wieder vollständig erreichbar. Was bislang nicht öffentlich bekannt ist: wie viele Server zum Zeitpunkt der Veröffentlichung tatsächlich bereits angegriffen wurden. Diese Zahl lässt sich von außen kaum seriös schätzen, deshalb verzichten wir hier bewusst auf eine Angabe.

PHP läuft auf dem Server und baut bei jedem Seitenaufruf die Website neu zusammen. Genutzt wird es unter anderem von WordPress, Typo3, Joomla, Contao und Shopware, also von einem großen Teil der Business-Websites, Online-Shops und Verwaltungsseiten in Deutschland. Das ist für sich genommen nichts Ungewöhnliches. Die Kehrseite zeigt sich aber genau in solchen Momenten: Wird eine Lücke im PHP-Kern selbst bekannt, sind potenziell alle Websites betroffen, die darauf aufbauen, unabhängig vom verwendeten CMS. Ob eine konkrete Website tatsächlich angreifbar ist, hängt am Ende davon ab, wie schnell Hoster und Betreiber das Update einspielen. Für Unternehmen heißt das: Die eigene IT-Sicherheit hängt nicht nur von den eigenen Passwörtern oder Plugins ab, sondern auch davon, wie zuverlässig im Hintergrund gepatcht wird, und wie schnell.

Wenn deine Website auf WordPress oder einem anderen PHP-basierten System läuft, bist du von dieser Art Lücke grundsätzlich potenziell betroffen, auch wenn du selbst nie etwas davon merkst. Entscheidend ist, ob dein Hoster oder deine Agentur das Sicherheitsupdate zeitnah eingespielt hat. Für kleine und mittlere Unternehmen ist das besonders unangenehm, weil sie selten eine eigene IT-Abteilung haben, die sowas aktiv überwacht. In der Praxis verlässt man sich meist darauf, dass der Hoster oder die betreuende Agentur das im Blick hat. Genau das ist auch völlig in Ordnung, solange diese Verantwortung klar geklärt ist. Wichtig ist der Unterschied zwischen zwei Situationen: Läuft deine Website über einen Managed-Hosting-Anbieter oder eine Agentur, die sich aktiv um Updates kümmert, ist das Risiko überschaubar. Pflegst du Server oder Website komplett selbst, bist du selbst in der Pflicht, bei jeder neuen Lücke zeitnah zu reagieren.

- Frag deinen Hoster oder deine Agentur aktiv, ob das PHP-Sicherheitsupdate von Oktober 2026 bereits eingespielt wurde - Prüfe, welche PHP-Version auf deinem Server läuft. Nur noch unterstützte Versionen erhalten überhaupt Sicherheitsupdates - Halte WordPress, Plugins und Themes aktuell, viele Lücken stecken nicht im PHP-Kern selbst, sondern in Erweiterungen darauf - Ändere nach einem bekannten Sicherheitsvorfall sicherheitshalber die Zugangsdaten für CMS, Hosting und Datenbank - Wenn du öfter über sowas nachdenken musst als dir lieb ist, lohnt sich langfristig ein Blick darauf, wie stark deine Website überhaupt von PHP und seinem Update-Zyklus abhängt Wie eine Website technisch so gebaut sein kann, dass sie von PHP-Lücken wie dieser erst gar nicht betroffen ist, zeigt dieser Beitrag: