Kritische PHP-Sicherheitslücke: So prüfst du, ob deine Website betroffen ist

Zwei kritische Sicherheitslücken in PHP haben eine internationale Sicherheitswarnung ausgelöst, die Websites, Onlineshops und Anwendungen auf Servern weltweit betrifft. Die als CVE-2026-109618 und CVE-2026-109619 bezeichneten Schwachstellen können es Angreifern ermöglichen, ohne vorherige Authentifizierung aus der Ferne Schadcode auszuführen.

Am 21. Oktober 2026 veröffentlichten die PHP-Verantwortlichen Notfallupdates, um beide Probleme zu beheben. Wenn du eine Website mit WordPress oder einem anderen PHP-basierten System betreibst, solltest du prüfen, welche Version installiert ist und ob dein Hostinganbieter die Sicherheitskorrekturen eingespielt hat.

Was bei PHP passiert ist und warum die Sicherheitslücken so schwerwiegend sind

PHP gehört zu den am häufigsten verwendeten Programmiersprachen für dynamische Websites. Sie kommt in Systemen wie WordPress, Joomla und Drupal sowie in zahlreichen individuell entwickelten Anwendungen zum Einsatz.

Anders als HTML oder CSS wird PHP auf dem Server ausgeführt, auf dem die Website gehostet wird. Dort kann PHP unter anderem Formulare verarbeiten, auf Datenbanken zugreifen oder Inhalte erzeugen, bevor diese an den Browser des Besuchers gesendet werden.

Die beiden entdeckten Sicherheitslücken betreffen die internen Abläufe von PHP. Laut der offiziellen Sicherheitsmeldung könnten Angreifer bestimmte Fehler bei der Verarbeitung von Anfragen ausnutzen, um unbefugte Befehle auf einem verwundbaren Server auszuführen.

Aufgrund der Schwere der Sicherheitslücken empfehlen europäische Stellen, die Updates umgehend einzuspielen. Einige Behörden und Organisationen haben ihre Dienste vorsorglich sogar vorübergehend vom Netz genommen.

Das bedeutet nicht, dass alle mit PHP erstellten Websites angegriffen wurden. Verwundbare Installationen sollten jedoch so schnell wie möglich überprüft werden.

So erkennst du, ob deine Website PHP verwendet

Zunächst solltest du feststellen, auf welcher Technologie deine Website basiert.

Wenn du WordPress, Joomla, Drupal oder eine in PHP entwickelte Anwendung nutzt, ist deine Website auf diese Programmiersprache angewiesen. Das bedeutet allerdings nicht automatisch, dass sie ungeschützt ist: Entscheidend sind auch die installierte Version und die auf dem Server eingespielten Sicherheitsupdates.

Falls du nicht weißt, welche Technologie deine Website verwendet, kannst du in der Dokumentation deines Hostinganbieters nachsehen oder bei dem Unternehmen nachfragen, das die Website entwickelt hat.

Es gibt auch Tools, die versuchen, die Technologien einer Website von außen über das Internet zu erkennen. Ihre Ergebnisse sind allerdings nicht immer eindeutig. Zudem lässt sich allein durch den Besuch einer Website nicht zuverlässig feststellen, ob der zugehörige Server diese Sicherheitslücken aufweist.

So prüfst du die PHP-Version in WordPress

Wenn du Zugriff auf den Administrationsbereich von WordPress hast, kannst du die PHP-Version ohne zusätzliche Plugins abfragen.

Gehe dazu wie folgt vor:

1. Melde dich im Administrationsbereich von WordPress an, der normalerweise unter tudominio.com/wp-admin erreichbar ist.
2. Öffne im Seitenmenü den Bereich Werkzeuge.
3. Wähle Website-Zustand.
4. Öffne den Tab Bericht.
5. Klappe den Abschnitt Server auf.
6. Suche das Feld PHP-Version.

Dort wird eine Versionsnummer wie 8.3.35 oder 8.4.26 angezeigt. Notiere sie, um sie mit den korrigierten Versionen zu vergleichen.

Falls du diese Information nicht findest, kannst du auch im Kunden- oder Verwaltungsbereich deines Hostinganbieters nachsehen. Dort kommen beispielsweise cPanel, Plesk oder andere Verwaltungssysteme zum Einsatz.

Beachte, dass WordPress zwar die von der Website verwendete Version anzeigt, aber nicht unbedingt erkennen lässt, ob der Anbieter zusätzliche Sicherheitskorrekturen integriert hat.

Welche PHP-Versionen betroffen sind

Das PHP-Entwicklungsteam veröffentlichte am 21. Oktober 2026 die folgenden korrigierten Versionen:

Eine Installation mit PHP 8.3.35 liegt beispielsweise vor dem offiziellen Sicherheitsupdate. In diesem Versionszweig ist PHP 8.3.36 die korrigierte Version.

PHP 8.1 und ältere Versionen erhalten vom PHP-Projekt keine regulären Updates mehr. Einige Betriebssystemanbieter und Anbieter von verlängertem Support veröffentlichen allerdings eigene Sicherheitskorrekturen für ältere Versionen.

Wenn du eine ältere als die aufgeführten Versionen verwendest, solltest du deshalb weder davon ausgehen, dass sie geschützt ist, noch dass sie zwangsläufig verwundbar ist, ohne die Patches des Anbieters zu prüfen.

Die veröffentlichten Versionen kannst du auf der offiziellen PHP-Website einsehen.

Was du tun solltest, wenn deine Website eine verwundbare Version verwendet

Wenn du feststellst, dass deine Website mit einer PHP-Version läuft, die älter als die korrigierte Version ist, und dir keine Bestätigung über einen eingespielten Patch vorliegt, solltest du schnell handeln.

1. Kontaktiere deinen Hostinganbieter. Frage nach, ob dein Server von den Sicherheitslücken CVE-2026-109618 und CVE-2026-109619 betroffen ist und ob die entsprechenden Updates bereits installiert wurden.

2. Erstelle eine Sicherungskopie. Stelle vor Änderungen an der Umgebung sicher, dass du über eine aktuelle Sicherung der Dateien und der Datenbank verfügst. Es empfiehlt sich, auch die Wiederherstellbarkeit zu prüfen.

3. Aktualisiere PHP auf eine korrigierte Version. Wenn du den Server selbst verwaltest, musst du die entsprechenden Sicherheitspakete installieren. Bei Shared Hosting kann der Anbieter dies übernehmen oder dir ermöglichen, die Version in seinem Verwaltungsbereich auszuwählen.

4. Prüfe die Funktionsfähigkeit der Website. Kontrolliere die wichtigsten Bereiche, die Formulare, die Benutzeranmeldung und bei einem Onlineshop auch den Bestellvorgang.

5. Veranlasse eine technische Überprüfung, wenn du einen Angriff vermutest. Ein Update verhindert, dass die behobenen Schwachstellen weiterhin ausgenutzt werden können. Es beseitigt jedoch nicht automatisch mögliche schädliche Änderungen, die zuvor vorgenommen wurden.

Kann meine Website nach einem PHP-Update nicht mehr funktionieren?

Ja. Obwohl eine aktuelle PHP-Version für die Sicherheit unverzichtbar ist, kann der Wechsel von einer älteren auf eine neuere Version Kompatibilitätsprobleme verursachen.

Das betrifft insbesondere Websites mit Themes, Plugins oder individuellen Entwicklungen, die schon länger nicht mehr aktualisiert wurden.

Nach einem PHP-Wechsel können beispielsweise Fehler in Kontaktformularen, bei Funktionen eines Onlineshops oder in Komponenten auftreten, die auf älterem Code basieren. In schwerwiegenderen Fällen lädt die Website möglicherweise nicht mehr korrekt.

Deshalb empfiehlt es sich, den Wechsel nach Möglichkeit zunächst in einer Testumgebung durchzuführen und die Kompatibilität der installierten Komponenten zu überprüfen.

Diese Risiken rechtfertigen es jedoch nicht, einen verwundbaren Server auf unbestimmte Zeit weiterzubetreiben. Wenn die Website für den Versionswechsel angepasst werden muss, sollte das Sicherheitsupdate mit den erforderlichen Änderungen abgestimmt werden.

Was ist, wenn ich keinen Zugriff auf den Server meiner Website habe?

In vielen Fällen verwaltet der Betreiber einer Website den Server, auf dem sie gehostet wird, nicht selbst. Häufig liegt diese Verantwortung beim Hostingunternehmen oder beim IT-Dienstleister.

Wenn das auf dich zutrifft, kannst du eine Anfrage wie diese senden:

„Guten Tag, ich möchte gern klären, ob der Server, auf dem meine Website gehostet wird, gegen die im Oktober 2026 veröffentlichten PHP-Sicherheitslücken CVE-2026-109618 und CVE-2026-109619 geschützt ist. Können Sie mir mitteilen, welche PHP-Version wir verwenden und ob die erforderlichen Sicherheitspatches bereits eingespielt wurden?“

Aus der Antwort sollte hervorgehen, ob deine Hostingumgebung auf dem aktuellen Stand ist oder Handlungsbedarf besteht.

Es reicht nicht aus, lediglich zu prüfen, ob sich die Website korrekt öffnen lässt. Eine Website kann ganz normal funktionieren und dennoch Sicherheitslücken aufweisen.

Sind alle WordPress-Websites gefährdet?

Nicht unbedingt. WordPress verwendet PHP, doch eine Installation, bei der die entsprechenden Sicherheitskorrekturen bereits eingespielt wurden, ist gegen diese beiden bekannten Schwachstellen geschützt.

Außerdem ist ein Update von WordPress, seinen Plugins oder Themes nicht mit einem PHP-Update gleichzusetzen. Es handelt sich um unterschiedliche Komponenten, weshalb die Wartung des Servers gesondert überprüft werden muss.

Die Warnung bedeutet auch nicht, dass alle verwundbaren Server bereits kompromittiert wurden. Es besteht jedoch ein Sicherheitsrisiko, das eine schnelle Reaktion erfordert.

So hältst du deine Website sicher

Die Veröffentlichung dieser Sicherheitslücken verdeutlicht, dass die Sicherheit einer Website nicht allein von einem aktuellen Content-Management-System abhängt. Auch die auf dem Server laufende Software muss berücksichtigt werden.

Zu den wichtigen Maßnahmen gehören regelmäßige Prüfungen der PHP-Version, der Einsatz kompatibler Komponenten, das Aufbewahren von Sicherungskopien und ein kontinuierlicher Austausch mit dem Hostinganbieter.

In diesem Fall ist die Empfehlung der PHP-Verantwortlichen und der Cybersicherheitsbehörden besonders eindeutig: Die offiziellen Sicherheitskorrekturen sollten so schnell wie möglich eingespielt werden; anschließend ist zu prüfen, ob die Dienste weiterhin korrekt funktionieren.

Wenn du dir bei der installierten Version unsicher bist, sieh zunächst im Verwaltungsbereich deiner Website nach oder kontaktiere deinen Hostinganbieter. Du musst nicht warten, bis ein Fehler auftritt, um zu prüfen, ob deine Website geschützt ist.