PHP-Sicherheitslücke: Was Websitebetreiber jetzt tun müssen

Am Nachmittag des 21. Oktober hat das PHP-Projekt die Versionen 8.5.12, 8.4.27, 8.3.36 und 8.2.35 veröffentlicht. Sie schliessen zwei Lücken mit den Kennungen CVE-2026-109618 und CVE-2026-109619. Beide sind nach dem Bewertungssystem CVSS mit 9,2 von 10 Punkten als kritisch eingestuft. Über sie können Angreifer aus der Ferne eigenen Code auf dem Server ausführen, ohne sich anzumelden.

Gefunden haben die Lücken die Firmen Calif und Wiz sowie OpenAI, gemeldet ab August 2026. Die Kennungen kursierten schon am 20. Oktober im Netz, noch am selben Abend zog das PHP-Projekt die Veröffentlichung um einen Tag vor. Die damals verbreitete Bewertung mit 10 Punkten ist falsch. Das PHP-Projekt hält fest: Nur das Update auf eine korrigierte PHP-Version behebt die Lücken vollständig, geänderte Einstellungen schützen nur teilweise.

Betroffen sind laut PHP-Projekt alle PHP-Installationen, die Anfragen aus dem Web beantworten. Das gilt für alle üblichen Betriebsarten. Am höchsten ist das Risiko laut PHP-Projekt bei mod_php, einer verbreiteten Einbindung von PHP in den Webserver Apache.

Für Sie heisst das: Jede Website mit WordPress, TYPO3, Joomla, Drupal oder einem PHP-Shop braucht eine korrigierte PHP-Version auf dem Server. Das BACS rät zudem, Verwaltungsoberflächen, interne Anwendungen und Geräte zu prüfen, die PHP im Hintergrund nutzen. Den Betreibern ist das nicht immer bekannt.

PHP 8.1 und älter

Für PHP 8.1 und ältere Versionen gibt es vom PHP-Projekt keine regulären Updates mehr. Das Sicherheitsteam hat für 7.4, 8.0 und 8.1 nur eine minimale Abhilfe im Quellcode bereitgestellt, gedacht für Fachleute, die PHP selbst kompilieren. Manche Linux-Distributionen, Hosting-Programme und Anbieter von Langzeitsupport liefern eigene Korrekturen, teils nur gegen Bezahlung. Auch ältere, nicht mehr unterstützte PHP-Versionen gelten als gefährdet. PHP 8.2 erhält zudem nur noch bis zum 31. Dezember 2026 Sicherheitsupdates.

Stand 22. Oktober, 7 Uhr, bestätigt keine Behörde eine erfolgreiche Ausnutzung. Das BSI meldet «noch keine bestätigten Ausnutzungen», geht aber von einer «kurzfristigen Ausnutzung» aus. Sicherheitsfirmen wie Cloudflare und watchTowr beobachten seit dem 21. Oktober Angriffsversuche, und Beispielprogramme für Angriffe (Proof of Concept) kursieren im Netz. Einen erfolgreichen Einbruch hat bis zum Morgen des 22. Oktober auch keine dieser Firmen mit Beleg beschrieben. Die Lage ist ernst. Die Lösung ist aber bekannt und für die unterstützten PHP-Versionen verfügbar.

1. Bestand aufnehmen. Listen Sie alle Websites, Shops, Kundenportale und Verwaltungsoberflächen Ihrer Firma auf. Notieren Sie je Eintrag, wer hostet, wer betreut und welche PHP-Version läuft. Die Version steht meist im Kundenbereich des Hosters. Bei WordPress finden Sie sie unter Werkzeuge, Website-Zustand, im Bericht unter Server.
2. Hoster oder Dienstleister anschreiben. Bei gemietetem Webhosting spielt in der Regel der Hoster das PHP-Update ein. Lassen Sie sich bestätigen, dass das Update installiert ist, nicht nur geplant. Auch das BACS empfiehlt, sich bei Hosting-Angeboten die Behebung bestätigen zu lassen. Eine Vorlage für Ihre Nachricht finden Sie weiter unten.
3. Nicht nur auf die Versionsnummer schauen. Linux-Distributionen übertragen Korrekturen oft in bestehende Pakete, ohne die Nummer zu ändern. Das BACS hält fest: «Eine unveränderte PHP-Hauptversion bedeutet deshalb nicht automatisch, dass der Patch fehlt.» Klarheit gibt erst die Bestätigung des Anbieters.
4. Neustart verlangen. Nach dem Update müssen die PHP-Dienste neu starten, sonst arbeiten laufende Prozesse weiter mit dem alten Stand. Auch diesen Schritt nennt das BACS ausdrücklich.
5. Abschalten, wenn das Update fehlt. Lässt sich Ihre Website nicht zeitnah aktualisieren, raten BACS und BSI, eine vorübergehende Trennung vom Internet zu prüfen. Klären Sie das mit Ihrem Hoster. Ein Wartungsmodus innerhalb von WordPress reicht dafür nicht.
6. Nach dem Update testen und prüfen lassen. Testen Sie Formulare, Uploads und Bestellungen, denn die Korrektur ändert, wie PHP mit Speichermangel umgeht. Ein Update beseitigt zudem keinen Einbruch, der schon stattgefunden hat. Lassen Sie die Protokolle mindestens seit dem 20. Oktober prüfen: ungewöhnliche Anfragen, gehäufte Fehler 500, Fehler wegen des Speicherlimits, abstürzende PHP-Prozesse, veränderte Dateien. Finden sich keine Hinweise, ist das beruhigend, aber kein Beweis.
7. Eine Firewall als Zusatz nutzen. Eine Web Application Firewall filtert bekannte Angriffsmuster heraus. Cloudflare hat dafür Regeln aktiviert, auch im kostenlosen Angebot. Sie ergänzt das Update, ersetzt es aber nicht: «Auch eine Web Application Firewall allein genügt nicht», schreibt das BACS.

Diese Nachricht können Sie Ihrem Hoster schicken

Dann gibt es drei Wege. Ihr Anbieter liefert eine eigene Korrektur für die alte Version: Fragen Sie konkret danach, aber sehen Sie darin eine Überbrückung, keinen Ersatz für eine unterstützte Version. Oder der Hoster stellt auf eine unterstützte Version um, am besten auf 8.3 oder neuer, weil 8.2 Ende 2026 ausläuft. Bis eines von beidem erledigt ist, bleibt der dritte Weg: die Website vom Netz nehmen. WordPress rät Betreibern, die ihr Hosting selbst verwalten und PHP unter 8.2 nutzen, zu erwägen, den Server bis zum Update offline zu nehmen. Die US-Behörde CISA geht weiter: Systeme mit PHP 8.1 und älter sollen bis zum Update vom Netz.

Der Wechsel auf eine neue PHP-Version gelingt nicht immer auf Anhieb. Ältere Plugins, Themes oder TYPO3-Extensions laufen unter neuem PHP teils nicht mehr. Dann braucht es zuerst ein Update des Redaktionssystems, im Einzelfall eine neue Website. Unsere Empfehlung: Legen Sie vor jedem Versionswechsel eine vollständige Sicherung von Dateien und Datenbank an. Das ist ein Rat aus unserer Praxis, keine Vorgabe der Behörden.

Wie Sie Fehler nach einem Wechsel eingrenzen, steht im Beitrag WordPress-Website funktioniert nicht mehr. Für TYPO3 gelten eigene Versionsgrenzen, mehr dazu unter TYPO3-Website nicht erreichbar. Ob statt einer Reparatur eine neue Website sinnvoll ist, klärt der Beitrag WordPress oder TYPO3 ablösen.

Am 21. Oktober waren auffällig viele Websites nicht erreichbar. Dass eine Website offline ist, heisst nicht, dass sie gehackt wurde. Viele Betreiber und mehrere Hoster in der Schweiz und in Deutschland haben vorsorglich abgeschaltet, bis das Update eingespielt war. In den Niederlanden nahm das nationale Zentrum für Cybersicherheit (NCSC) seine eigene Website vom Netz, ebenso mehrere andere Organisationen, darunter Behörden. Die DENIC, die zentrale Registrierungsstelle für .de-Domains, schaltete ausgewählte eigene Webseiten ab. Das BSI meldet «Einschränkungen bei der Erreichbarkeit verschiedener Webseiten in Deutschland».

Ist Ihre eigene Website nicht erreichbar, gehen Sie die Schritte im Beitrag WordPress-Website offline: Was tun? durch.

Die Frascati GmbH aus Allschwil bei Basel baut und betreut Websites für KMU in der Schweiz und in Deutschland. Wissen Sie nicht, wer Ihre Website technisch betreut oder auf welcher PHP-Version sie läuft, klären wir das gemeinsam: wo die Website liegt, was Sie den Hoster fragen müssen und ob seine Antwort genügt. Läuft die Website auf überholter Technik, zeigen wir die Möglichkeiten auf, vom Update bis zum Website-Relaunch.

Der kostenlose Website-Check zeigt in Sekunden, ob HTTPS, Zertifikat und die üblichen Schutzeinstellungen Ihrer Website stimmen. Ob die PHP-Lücke geschlossen ist, kann er von aussen nicht feststellen. Das kann nur Ihr Hoster bestätigen.

Ist meine WordPress-Website von der PHP-Lücke betroffen?

Ja, solange auf dem Server keine korrigierte PHP-Version läuft, denn WordPress läuft immer auf PHP. Geschlossen sind die Lücken, sobald eine korrigierte PHP-Version oder ein vom Anbieter als behoben ausgewiesenes Paket läuft und die PHP-Dienste neu gestartet sind. Bei PHP 8.1 und älter ist eine solche Korrektur nur eine Überbrückung. Verbindlich sagen kann Ihnen das nur Ihr Hoster oder IT-Dienstleister.

Reicht ein Update von WordPress, TYPO3 oder den Plugins?

Nein. Die Lücken liegen in PHP, nicht im Redaktionssystem. WordPress schreibt, für diese Lücken sei kein WordPress-Update nötig oder geplant, und TYPO3 hält fest, nur PHP müsse aktualisiert werden. Das BSI formuliert es so: «Ein Update der Anwendungen ist daher nicht ausreichend, die zugrundeliegende PHP-Laufzeitumgebung muss ebenfalls gepatcht werden.» Installieren Sie keine angeblichen «Fix»-Plugins. Updates von WordPress, TYPO3 und Plugins bleiben trotzdem wichtig, weil sie andere Lücken schliessen.

Wie erkenne ich, ob das PHP-Update eingespielt ist?

Verlässlich nur über die Bestätigung Ihres Hosters. Die angezeigte Versionsnummer ist ein erster Hinweis: Ab 8.2.35, 8.3.36, 8.4.27 oder 8.5.12 ist die Korrektur enthalten. Eine ältere Nummer kann trotzdem korrigiert sein, wenn der Anbieter die Korrektur in sein eigenes Paket übernommen hat.

Muss ich meine Website vom Netz nehmen?

Nur wenn sie nicht zeitnah aktualisiert werden kann. Für diesen Fall raten BACS und BSI, eine vorübergehende Trennung vom Internet zu prüfen. Ist das Update bestätigt und zeigen die Protokolle nichts Auffälliges, kann die Website online bleiben. Entscheiden Sie das zusammen mit Ihrem Hoster.

Was bedeutet «PHP2Shell»?

So nennen Medien die beiden Lücken, in Anlehnung an die frühere Lücke «Log4Shell». Der Name stammt vom Demo-Skript der Forscher und ist keine offizielle Bezeichnung des PHP-Projekts. Offiziell heissen die Lücken CVE-2026-109618 und CVE-2026-109619.

Sie möchten die Lage für Ihre Website kurz mit uns durchgehen? Vereinbaren Sie einen Termin. Wir sagen Ihnen offen, was jetzt nötig ist.