Kritische PHP-Sicherheitslücken: Was Websitebetreiber jetzt prüfen sollten

Stand: 23. Oktober 2026. Die aktuellen PHP-Sicherheitslücken betreffen die technische Grundlage vieler Websites. Auch Betreiber einer WordPress-Seite sollten deshalb prüfen lassen, ob ihr Hosting bereits abgesichert ist. Ein aktuelles WordPress und aktuelle Plugins allein beantworten diese Frage noch nicht.

Unter dem Namen PHP2Shell werden zwei kritische Schwachstellen zusammengefasst. Sicherheitsupdates sind seit dem 21. Oktober verfügbar. Für Unternehmen zählt jetzt vor allem ein nachvollziehbares Ergebnis: Welche PHP-Umgebung verwendet die Website tatsächlich, wurde der passende Fix installiert und funktioniert die Seite anschließend weiterhin?

Was hinter den PHP-Sicherheitslücken steckt

Die PHP-Entwickler beschreiben CVE-2026-109618 und CVE-2026-109619 als Schwachstellen, die unter entsprechenden Bedingungen eine Ausführung fremden Codes ohne vorherige Anmeldung ermöglichen können. Die erste betrifft Speicherbeschädigungen bei der Behandlung von Speichermangel, die zweite weiterverwendete interne Zustände nach Freigabe des zugehörigen Speichers.

Die Warnung umfasst verschiedene Betriebsarten, darunter PHP-FPM, Apache mit mod_php, php-cgi, FrankenPHP und LiteSpeed. Laut PHP-Team ist das Risiko bei mod_php besonders hoch; ein demonstrierter Angriff kann dort bereits vor Ausführung des Anwendungscodes ansetzen. Daraus folgt für Websitebetreiber: Eine Anmeldung im WordPress-Backend ist keine Voraussetzung für jeden möglichen Angriff auf diese Schwachstellen.

Welche PHP-Versionen die Korrekturen enthalten

Das PHP-Projekt nennt folgende korrigierte Versionen der unterstützten Zweige:

Wichtig: Bei Paketen einer Linux-Distribution oder eines Hostinganbieters kann ein Sicherheitsfix zurückportiert sein. Eine ältere sichtbare Versionsnummer ist deshalb nicht immer ein abschließender Beweis für eine ungepatchte Installation. Entscheidend ist die dokumentierte Korrektur des tatsächlich eingesetzten Pakets.

Warum Websitebetreiber jetzt handeln sollten

CERT-EU bewertet beide Schwachstellen mit einem CVSS-Wert von 9,2 als kritisch und empfiehlt eine schnellstmögliche Aktualisierung. Auch PHP 8.1 und ältere, vom PHP-Projekt nicht mehr regulär unterstützte Zweige müssen berücksichtigt werden. Für einzelne ältere Zweige existieren Quellcode-Rückportierungen beziehungsweise anbieterspezifische Korrekturen. Daraus entsteht jedoch kein neuer allgemeiner Langzeitsupport.

Die gemeinsame Warnung europäischer Sicherheitsstellen empfiehlt, PHP-Anwendungen zu erfassen, Hosting- und Dienstanbieter einzubeziehen und öffentlich erreichbare Systeme zu priorisieren. Ist eine zeitnahe Absicherung nicht möglich, soll eine vorübergehende Isolation exponierter Anwendungen erwogen werden.

Meine Empfehlung: Lassen Sie sich die Absicherung bestätigen, statt lediglich von einer funktionierenden Website auf einen sicheren Zustand zu schließen. Die Erreichbarkeit sagt wenig darüber aus, welche Laufzeit im Hintergrund arbeitet.

Was das für WordPress bedeutet

Bei der Prüfung sind mehrere Ebenen zu unterscheiden: das Content-Management-System, seine Erweiterungen und die Serverumgebung. Wer im WordPress-Backend alle Updates eingespielt hat, hat damit nicht zwangsläufig auch die PHP-Pakete des Hostings aktualisiert. Diese Aufgabe liegt je nach Vertrag beim Hostinganbieter, beim Serveradministrator oder bei der technischen Betreuung.

Ein Beispiel: Die Website nutzt einen PHP-8.3-Handler, während eine andere Domain auf demselben Server noch über einen älteren Handler läuft. Dann muss jede Zuordnung betrachtet werden. Eine korrigierte PHP-Version irgendwo auf dem Server bestätigt noch nicht, dass sämtliche Websites darüber ausgeführt werden.

Für mich gehört eine solche Prüfung zur Abstimmung zwischen Hosting und technischer Websitebetreuung. Sie sollte auch selten genutzte Subdomains, Testinstallationen und ältere Projekte einbeziehen.

Besonderheit bei Plesk: Website-PHP und Panel getrennt prüfen

Plesk führt inzwischen korrigierte Website-PHP-Versionen für Linux und Windows auf. Zusätzlich verwendet das Verwaltungspanel eine eigene PHP-Komponente: unter Linux sw-engine, unter Windows plesk-engine. Dafür nennt der Hersteller Plesk Obsidian 18.0.81 Update 4 beziehungsweise 18.0.80 Update 11 als korrigierte Stände.

Für Plesk unter Linux nennt die Herstellerinformation außerdem korrigierte Builds von PHP 7.4.33, 8.0.30 und 8.1.34 mit Builddatum 21. Oktober 2026. Die Versionsnummern dieser älteren Pakete bleiben dabei gleich. Gerade hier reicht ein Vergleich der kurzen Versionsnummer nicht aus.

Meine praktische Schlussfolgerung: Eine Prüfung sollte sowohl die PHP-Umgebungen der Domains als auch das Panel selbst erfassen. Die Meldung „PHP aktualisiert“ sollte erkennen lassen, welche Komponente gemeint ist. Ob ein bestimmter Server bereits vollständig korrigiert ist, muss individuell kontrolliert werden; dieser Artikel bestätigt keinen konkreten Kundenserver.

Diese Fragen können Sie Ihrem Hostinganbieter stellen

• Welche PHP-Version und welcher Paketstand werden für meine Domain tatsächlich verwendet?
• Sind beide Schwachstellen, CVE-2026-109618 und CVE-2026-109619, darin behoben?
• Falls ein zurückportierter Fix verwendet wird: Wo ist der korrigierte Paketstand dokumentiert?
• Wurden die erforderlichen Dienste neu gestartet beziehungsweise die neuen Laufzeiten wirksam aktiviert?
• Sind weitere Domains, Subdomains und gegebenenfalls das Verwaltungspanel ebenfalls geprüft?

Meine Empfehlung ist, die Antwort zusammen mit Datum und betroffenen Domains zu dokumentieren. So bleibt nachvollziehbar, ob nur ein Update angekündigt oder die tatsächliche Umsetzung bereits bestätigt wurde.

Warum Schutzplugins und Notmaßnahmen allein nicht genügen

Das PHP-Team weist ausdrücklich darauf hin, dass nur eine Aktualisierung die Schwachstellen vollständig behebt. CERT-EU beschreibt vorübergehende Maßnahmen, die einzelne Angriffspfade einschränken, eine Installation aber nicht insgesamt sicher machen.

Für die Praxis bedeutet das: Ein Schutzplugin, eine Firewall oder das Ändern einzelner PHP-Einstellungen sollte nicht als pauschaler Nachweis der Behebung gelten. Ich empfehle insbesondere, keine aus Meldungen herauskopierten Konfigurationsänderungen ohne Prüfung der eigenen Umgebung einzusetzen. Änderungen an Speicher- oder Uploadgrenzen können auch Verfügbarkeit und reguläre Funktionen beeinflussen.

Nach dem Update die wichtigen Funktionen kontrollieren

Meine Checkliste für die Nachkontrolle ist bewusst auf das Geschäft ausgerichtet: Öffnen Sie zentrale Unterseiten, testen Sie die Anmeldung und versenden Sie eine Nachricht über das Kontaktformular. Bei Shops kommen Warenkorb, Bestellablauf und die verwendeten Schnittstellen hinzu. Prüfen Sie außerdem geplante Aufgaben und den erfolgreichen Abschluss der nächsten Sicherung.

Dokumentieren Sie Auffälligkeiten mit Uhrzeit und konkretem Ablauf. Wenn ein Fehler erst nach der Änderung auftritt, hilft diese Beschreibung bei der Eingrenzung. Eine Rückkehr zu einer bekanntermaßen verwundbaren PHP-Version sollte nicht die dauerhafte Lösung sein; stattdessen muss die Ursache gezielt behoben werden.

Eine regelmäßige WordPress-Wartung und klar vereinbarte Zuständigkeiten erleichtern diese Abstimmung. Wichtig ist, dass Serverupdates und deren Prüfung im jeweiligen Leistungsumfang ausdrücklich geklärt sind.

Quellen und Informationsstand

Dieser Beitrag berücksichtigt den Stand vom 23. Oktober 2026. Maßgeblich für einzelne Systeme bleiben die aktuellen Herstellerinformationen und die Bestätigung des zuständigen Anbieters.

• PHP-Projekt: Sicherheitswarnung und Veröffentlichungen vom 21. Oktober 2026
• CERT-EU: Critical Vulnerabilities in PHP
• ENISA: Gemeinsame Warnung zu den kritischen PHP-Schwachstellen
• Plesk: Betroffene und korrigierte PHP- und Panelversionen

Ich übernehme die technische Prüfung für Sie

Sie möchten wissen, ob Ihre Website und das zugehörige Hosting gegen die aktuellen PHP-Sicherheitslücken abgesichert sind? Ich kann die eingesetzte Umgebung prüfen, die Aktualisierung mit Ihrem Anbieter abstimmen oder bei entsprechender Zuständigkeit selbst durchführen und anschließend die wichtigen Websitefunktionen kontrollieren. Schicken Sie mir Ihre Domain und Ihr Anliegen über das Kontaktformular zur PHP-Sicherheitsprüfung.