Kurz zusammengefasst

  • Zwei kritische Lücken in PHP (CVE-2026-109618 und CVE-2026-109619) können laut PHP-Projekt und CERT.at dazu führen, dass Angreifer ohne Anmeldung aus der Ferne Code auf dem Server ausführen.
  • Betroffen sind Server, auf denen PHP Webseiten ausliefert, zum Beispiel bei WordPress, Joomla, Drupal oder Magento. Updates gibt es mit PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35.
  • Wer eine solche Seite betreibt, sollte bei Hoster oder Agentur nachfragen, ob das Update eingespielt ist.
  • Websites aus fertigen HTML-Dateien ohne PHP, so wie meine, sind von diesen beiden Lücken nicht betroffen und brauchen dafür keine Wartung. Das heißt nicht, dass es nie andere Risiken gibt.

Update, Stand 24. Oktober 2026

  • Angriffsversuche: Laut Medienberichten beobachten Sicherheitsfirmen seit der Veröffentlichung massenhaft Versuche, die Lücken auszunutzen. Cloudflare nennt Millionen Versuche bis zum Morgen des 22. Oktober, bei Amazon gab es schon am 17. Oktober einen ersten Versuch. Bis zum 23. Oktober wurden keine bestätigten erfolgreichen Angriffe gemeldet. Ein Sicherheitsunternehmen hat laut Bericht aber einen Angriff entwickelt, der auch bei der empfohlenen Produktionseinstellung von PHP funktioniert, das Update bleibt deshalb wichtig (The Hacker News (externer Link, öffnet in neuem Tab), zweiter Bericht (externer Link, öffnet in neuem Tab)).
  • Eine weitere Lücke: Am 23. Oktober hat das PHP-Projekt vor einem zusätzlichen Problem gewarnt (CVE-2026-115560). Es betrifft nur Anwendungen mit einer seltenen Einstellung, einen Notfall-Fix gibt es nicht. Empfohlen wird session.upload_progress.enabled=0, bis das nächste reguläre Update erscheint (The Hacker News (externer Link, öffnet in neuem Tab)).
  • Eingebautes PHP: Das niederländische Cybersicherheitszentrum NCSC führt eine Liste von Produkten, in denen PHP steckt, zum Beispiel Netzwerkgeräte. Dort hilft nur ein Update des Herstellers (NCSC-NL (externer Link, öffnet in neuem Tab)).

Betrifft mich das?

  • Möglicherweise betroffen

    WordPress, Joomla, Drupal, Magento oder eine eigene PHP-Anwendung

    Das hängt von der PHP-Version ab. Frag deinen Hoster oder deine Agentur, ob das Update eingespielt ist.

  • Von außen nicht beurteilbar

    Website-Baukasten oder fertige Shop-Lösung

    Ob und wie der Anbieter betroffen ist, kann ich von außen nicht beurteilen. Informationen dazu kommen vom Anbieter.

  • Nicht betroffen

    Fertige HTML-Dateien ohne PHP

    So baue ich meine Websites: Es läuft kein PHP, das Anfragen verarbeitet. Diese beiden Lücken betreffen sie nicht.

Was ist passiert?

Am 21. Oktober 2026 hat das PHP-Projekt Updates veröffentlicht, die zwei Schwachstellen schließen. Beide wurden mit 9,2 von 10 möglichen Punkten bewertet (CVSS 4.0). Die erste Lücke (CVE-2026-109618) betrifft den Umgang mit zu wenig Arbeitsspeicher. Bei der zweiten (CVE-2026-109619) wird Speicher weiterverwendet, der schon freigegeben war.

Nach den Angaben von CERT.at, dem nationalen Computer Emergency Response Team von Österreich, können Angreifer dadurch ohne Anmeldung aus der Ferne eigenen Code auf dem Server ausführen, mit den Rechten des Benutzerkontos, unter dem der Webserver läuft. Zu einer aktiven Ausnutzung machte das PHP-Projekt am 21. Oktober laut CERT.at keine Angaben. Inzwischen werden Angriffsversuche gemeldet, siehe Update oben.

Laut Medienberichten nahmen einzelne Organisationen ihre Websites vorsorglich vom Netz, bis das Update eingespielt war (Heute.at, 21.10.2026 (externer Link, öffnet in neuem Tab)).

Welche PHP-Versionen sind betroffen?

Betroffen sind laut PHP-Projekt alle Installationen, die Web-Anfragen mit PHP verarbeiten, etwa über PHP-FPM, Apache mit mod_php, php-cgi, FrankenPHP oder LiteSpeed. Behoben ist es ab diesen Versionen:

  • PHP 8.5Update auf 8.5.12
  • PHP 8.4Update auf 8.4.27
  • PHP 8.3Update auf 8.3.36
  • PHP 8.2Update auf 8.2.35
  • PHP 8.1 und älterkein Update vom PHP-Projekt

Betroffen ist jeweils jede ältere Version derselben Reihe. PHP 8.2 erreicht am 31. Dezember 2026 das Ende der Unterstützung. Für PHP 8.1 und älter gibt es vom PHP-Projekt keine Updates mehr. Manche Linux-Anbieter liefern zurückportierte Korrekturen, empfohlen wird der Wechsel auf eine unterstützte Version.

Was Betreiber jetzt tun können

  1. NachfragenFrag deinen Hoster oder deine Agentur, ob das PHP-Update eingespielt ist, und bitte um eine kurze Bestätigung.
  2. Selbst betreibenWer den Server selbst verwaltet, aktualisiert auf PHP 8.5.12, 8.4.27, 8.3.36 oder 8.2.35. Laut PHP-Projekt ist nur das Update eine vollständige Abhilfe. Übergangsmaßnahmen, die CERT.at beschreibt, schützen nur teilweise.
  3. Aktuell bleibenCERT.at empfiehlt, Software generell aktuell zu halten und automatische Updates zu nutzen.
  4. Bei UnsicherheitWende dich an deinen Hoster oder an eine IT-Fachperson. Ich biete keine IT-Sicherheitsberatung an und kann keine fremden Server absichern.

Und bei Websites ohne PHP?

Diese Lücken betreffen sie nicht, und es gibt wenig zu warten

Meine Websites bestehen aus fertigen HTML-Dateien, die über das Servernetz von Cloudflare ausgeliefert werden. Dabei läuft keine PHP-Software, die Anfragen verarbeitet. Die PHP-Lücken betreffen sie nicht, und es gibt dort nichts zu patchen.

Das spart Wartung: Bei meinen Websites gibt es kein PHP, kein CMS und keine Plugins, die ich bei jeder neuen Meldung aktualisieren müsste. Der Wartungsaufwand ist dadurch deutlich geringer, und die Wartung ist in meinen Paketen enthalten. Inhalte aktuell halten sowie Domain und Zugänge schützen bleiben Aufgaben.

Das gilt für diese Lücken, nicht für jedes denkbare Risiko. Auch eine Website ohne PHP braucht gut geschützte Zugänge, zum Beispiel zum Hosting-Konto und zur Domain. Warum ich Websites so baue, erkläre ich im Vergleich Jamstack vs. WordPress.

Weitere Meldungen dieser Woche

Diese Woche gab es noch mehr Sicherheitsmeldungen. Die Zusammenfassungen geben die verlinkten Berichte mit Stand 24. Oktober 2026 wieder. Für Website-Betreiber zählt: Sie betreffen meist nur, wer die jeweilige Software selbst betreibt oder nutzt. Frag bei Hoster oder Agentur nach, was bei dir im Einsatz ist.

  • Nur bei Node.js oder Bun

    Node.js und der Brotli-Fehler

    Am 21. Oktober gab es Updates (22.23.4, 24.22.1, 26.12.1), unter anderem gegen einen Fehler im Brotli-Entpacker, der Codeausführung ermöglichen kann, wenn fremde Brotli-Daten entpackt werden. Betroffen sind auch Bun und Python-Brotli-Pakete. Node.js (externer Link, öffnet in neuem Tab) Bericht (externer Link, öffnet in neuem Tab)

  • Nur bei eigenem Webserver

    NGINX

    Am 14. Oktober erschienen die Versionen 1.30.6 und 1.31.7 gegen fünf Lücken. Drei Speicherfehler brauchen bestimmte Einstellungen und werden vom Hersteller F5 mit 9,2 von 10 bewertet. Angriffe wurden bis zum 15. Oktober nicht gemeldet. Bericht (externer Link, öffnet in neuem Tab)

  • Nur bei diesen Zertifikaten

    eMudhra

    Laut Bericht waren acht Zwischenschlüssel der indischen Zertifizierungsstelle leicht erratbar. eMudhra gibt an, sie nie zur Ausstellung von Zertifikaten genutzt zu haben und nicht gehackt worden zu sein. Firefox und Chrome (ab 27. Oktober) vertrauen dem ECC-Stammzertifikat nicht mehr, eMudhra steigt aus dem TLS-Geschäft aus. Betroffen sind Betreiber mit Zertifikaten darunter, vor allem Hochschulen. Hat dein Zertifikat einen anderen Aussteller, ändert sich nichts. Bericht (externer Link, öffnet in neuem Tab)

  • Kein Website-Thema

    Plex2Shell

    Laut dem Entdecker lassen sich vier Lücken im Plex Media Server, einer Software für Medien-Heimserver, zu Codeausführung ohne Anmeldung verketten. Behoben ist es seit 3. August (Version 1.43.3.10861). Die US-Behörde CISA führt sie als aktiv ausgenutzt. Bericht (externer Link, öffnet in neuem Tab)

  • Kein Website-Thema

    Tor und SSH

    Laut Bericht übernahmen Angreifer Anfang Oktober über 300 Ausgangsknoten des Tor-Netzwerks und leiteten darüber SSH-Verbindungen auf eigene Server um. Passwörter konnten nur bei SSH-Anmeldungen mit Passwort über Tor zwischen 1. und 5. Oktober abgegriffen werden, und nur, wenn der Schlüssel des falschen Servers akzeptiert wurde. Bericht (externer Link, öffnet in neuem Tab)

  • Nur bei diesem Werkzeug

    OVHcloud

    Laut Bericht tauschte ein Angreifer am 19. Oktober über ein gekapertes Konto bei fünf Versionen des Kommandozeilenwerkzeugs von OVHcloud für bis zu 94 Minuten die Downloads gegen Schadsoftware aus. Betroffen ist nur, wer es in diesem Zeitfenster installiert oder aktualisiert hat. Bericht (externer Link, öffnet in neuem Tab)

  • Nur bei Java-Anwendungen

    Java

    Oracle hat im Patchpaket vom Oktober (Critical Patch Update) auch Korrekturen für Java SE und GraalVM veröffentlicht. Relevant ist das, wenn du Java-Anwendungen betreibst. Oracle (externer Link, öffnet in neuem Tab)

Häufige Fragen

Ist meine WordPress-Website betroffen?

Das hängt von der PHP-Version ab, auf der dein Hoster sie betreibt. Betroffen sind PHP-Versionen vor 8.5.12, 8.4.27, 8.3.36 und 8.2.35 sowie PHP 8.1 und älter. Frag bei deinem Hoster nach, ob das Update eingespielt ist.

Ist eine Website ohne PHP automatisch sicher?

Nein. Sie ist von diesen beiden Lücken nicht betroffen, aber das heißt nicht, dass es gar keine Risiken gibt. Gut geschützte Zugänge und aktuelle Passwörter bleiben wichtig.

Muss ich bei einer Website ohne PHP etwas tun, wenn solche Lücken bekannt werden?

Für die PHP-Lücken nicht. Bei meinen Websites gibt es kein PHP, kein CMS und keine Plugins, die ich bei jeder Meldung aktualisieren müsste. Das hält den Wartungsaufwand gering, und die Wartung ist in meinen Paketen enthalten. Wichtig bleiben geschützte Zugänge zu Hosting und Domain.

Kannst du meine bestehende PHP-Seite absichern?

Nein, Serverbetreuung und die Absicherung bestehender WordPress-Seiten gehören nicht zu meinem Angebot. Wenn du über eine neue Website nachdenkst, sprechen wir im kostenlosen Erstgespräch darüber, was für dich passt.

Quellen und Stand

Hinweis

Dieser Beitrag fasst öffentliche Informationen in eigenen Worten zusammen und ist keine IT-Sicherheits- oder Rechtsberatung. Maßgeblich sind die Angaben des PHP-Projekts, von CERT.at und der jeweiligen Hersteller, sie können sich ändern. Die Zusammenfassungen der weiteren Meldungen beruhen auf den verlinkten Berichten. Erstfassung 21. Oktober 2026, Stand: 24. Oktober 2026. Die verlinkten Seiten gehören den jeweiligen Anbietern, beim Klick verlässt du diese Website (siehe Datenschutz).