Die Meldung
Das PHP-Projekt hat am 21. Oktober 2026 die Versionen 8.5.12, 8.4.27, 8.3.36 und 8.2.35 veröffentlicht. Sie schließen zwei kritische Sicherheitslücken, CVE-2026-109618 und CVE-2026-109619. Laut PHP kann jede der beiden es einem Angreifer erlauben, ohne Anmeldung eigenen Code auf einem Webserver auszuführen. Beide sind mit 9,2 von 10 bewertet, und das Projekt hatte einen Tag zuvor ein kritisches Update angekündigt.
PHP ist die Programmiersprache, auf der WordPress, WooCommerce, Laravel und viele andere Website-Systeme laufen. Das Sicherheitsteam von PHP sieht jede PHP-Installation gefährdet, die Webseiten ausliefert. Am höchsten ist das Risiko auf Servern, die PHP als mod_php in Apache betreiben. Dort hat das Team gezeigt, dass eine einzige Anfrage den Angriff auslösen kann, noch bevor der Code der Website läuft. Laut PHP behebt nur ein Update das Problem vollständig, Änderungen an den Einstellungen verringern das Risiko lediglich.
PHP 8.1 und ältere Versionen erhalten keine offiziellen Updates mehr. Einige Linux-Anbieter stellen korrigierte Pakete bereit, und das PHP-Team hat einfache Korrekturen für die Versionen 7.4, 8.0 und 8.1 veröffentlicht, für alle, die PHP selbst kompilieren. CERT-EU, der Cybersicherheitsdienst der EU-Institutionen, meldete am 23. Oktober, dass erster Angriffscode im Umlauf ist. Das macht es wahrscheinlicher, dass die Lücken bereits ausgenutzt werden.
Update vom 27. Oktober: Die Lücken werden inzwischen bei echten Angriffen ausgenutzt. Ein Sicherheitsforscher hat einen erfolgreichen Angriff auf einen Köder-Server mit PHP 8.4.26 als mod_php in Apache beobachtet, und am 26. Oktober hat CISA, die US-Behörde für Cybersicherheit, beide Lücken in ihre Liste aktiv ausgenutzter Schwachstellen aufgenommen.
Am 23. Oktober beschrieb PHP außerdem ein drittes, weniger wahrscheinliches Problem, das nur ungewöhnliche Konfigurationen betrifft und mit dem nächsten regulären Release behoben wird. PHP 8.2 erhält nach dem 31. Dezember 2026 keine Sicherheitskorrekturen mehr.
Was das für Sie bedeutet
- Läuft Ihre Website oder Ihr Onlineshop mit WordPress, WooCommerce, Laravel oder einem anderen PHP-System, braucht der Server die neue PHP-Version. Ein Update von Plugins oder Theme reicht nicht.
- Bei Shared- oder Managed-Hosting aktualisiert meist der Hoster PHP. Auf einem eigenen oder gemieteten virtuellen Server muss das jemand auf Ihrer Seite erledigen.
- Websites mit PHP 8.1 oder älter bekommen keine offizielle Korrektur, und PHP 8.2 erhält nach dem 31. Dezember 2026 keine Sicherheitskorrekturen mehr.
Was Sie jetzt tun können
- Fragen Sie Ihren Hoster oder Entwickler, welche PHP-Version jede Ihrer Websites nutzt und ob sie schon auf 8.5.12, 8.4.27, 8.3.36 oder 8.2.35 läuft oder auf einem korrigierten Paket des Server-Anbieters.
- Beziehen Sie jedes PHP-System ein, das Sie nutzen, etwa ein Kundenportal, ein Buchungssystem oder ein internes Tool, nicht nur die Hauptwebsite.
- Läuft etwas noch mit PHP 8.1 oder älter, planen Sie jetzt den Wechsel auf eine unterstützte Version.
- Testen Sie nach dem Update Kontaktformulare, Bestellvorgang und Logins.
Wie Didset Ihnen helfen kann
Wir entwickeln und betreuen Web-Apps und Integrationen, aktualisieren die PHP-Version unter Ihrer Website und prüfen, ob Formulare, Bezahlung und Logins weiter funktionieren.
Sprechen Sie mit uns
