Für Betreiber von WordPress-Websites und anderen PHP-basierten Webanwendungen gibt es am 21. Oktober 2026 eine dringende Sicherheitswarnung. Das PHP-Sicherheitsteam hat zwei kritische Schwachstellen mit jeweils 9,2 Punkten nach CVSS v4.0 bestätigt. CERT-EU warnt davor, dass Angreifer die Sicherheitslücken möglicherweise zur Ausführung von Schadcode auf betroffenen Servern ausnutzen können. Entsprechende Sicherheitsupdates sollen heute um 16:00 Uhr deutscher Zeit veröffentlicht werden.
Besonders problematisch ist die große Verbreitung von PHP. Die Programmiersprache wird unter anderem von WordPress, Drupal und Joomla verwendet. Dadurch könnten zahlreiche Webserver betroffen sein. Wir erklären, was über die Sicherheitslücken bisher bekannt ist, welche Informationen noch fehlen und wie Du Deine Website schon jetzt auf die notwendigen Sicherheitsupdates vorbereiten kannst.
Zwei kritische PHP-Sicherheitslücken mit CVSS 9,2 bestätigt
Das PHP-Sicherheitsteam hat am 20. Oktober 2026 eine ungewöhnliche Vorabwarnung veröffentlicht. Darin kündigt es zwei kritische Schwachstellen an, die mit einer außerplanmäßigen Sicherheitsveröffentlichung geschlossen werden sollen.
Beide Sicherheitslücken werden mit einem CVSS-v4.0-Wert von 9,2 bewertet. Das entspricht dem Schweregrad „Kritisch“. Das europäische Sicherheitszentrum CERT-EU hat die Schwachstellen in einer eigenen Warnung aufgegriffen und nennt die folgenden Kennungen:
| Schwachstelle | Schweregrad | Mögliche Auswirkungen |
|---|---|---|
| CVE-2026-109618 | CVSS 9,2, kritisch | Mögliche Ausführung fremden Codes |
| CVE-2026-109619 | CVSS 9,2, kritisch | Mögliche Ausführung fremden Codes |
Zum Zeitpunkt dieser Meldung hat das PHP-Projekt noch keine vollständigen technischen Einzelheiten veröffentlicht. Auch die endgültige Liste betroffener und korrigierter PHP-Versionen steht noch aus.
Die Sicherheitsupdates wurden für Mittwoch, den 21. Oktober 2026, um 14:00 Uhr UTC angekündigt. In Deutschland entspricht das 16:00 Uhr MESZ.
Wie gefährlich sind die neuen PHP-Schwachstellen?
CERT-EU warnt vor der Möglichkeit einer sogenannten Remote Code Execution, abgekürzt RCE. Darunter versteht man die Ausführung von Programmcode auf einem entfernten System.
Bei einer erfolgreich ausnutzbaren RCE-Schwachstelle könnten Angreifer unter bestimmten Voraussetzungen Schadcode auf einem Webserver ausführen. Je nach Berechtigungen des betroffenen Prozesses könnte das Auswirkungen auf Dateien, Datenbanken und weitere Anwendungen haben. Als mögliche Folgen kommen insbesondere die Manipulation von Webseiten, Datendiebstahl und die Installation zusätzlicher Schadsoftware infrage.
Allerdings ist eine wichtige Einschränkung notwendig: Das PHP-Projekt hat die genauen Angriffsbedingungen noch nicht offiziell veröffentlicht. Die mögliche Ausführung fremden Codes und ein Angriff ohne Anmeldung werden derzeit von Sicherheitsstellen unter Berufung auf zusätzliche Informationen diskutiert.
Es wäre deshalb falsch zu behaupten, dass bereits jede PHP-Website kompromittiert wurde oder dass sämtliche PHP-Installationen unter allen Bedingungen angreifbar sind.
Welche PHP-Versionen sind von den Sicherheitslücken betroffen?
Die endgültige Liste betroffener Versionen ist bisher noch nicht bekannt. CERT-EU weist auf Informationen hin, nach denen PHP-Versionen ab PHP 5 betroffen sein könnten. Das würde einen außerordentlich großen Zeitraum betreffen. Die mögliche Betroffenheit dieser älteren und neueren Versionen ist allerdings noch nicht durch die vollständigen PHP-Versionshinweise bestätigt.
Für Administratoren ist deshalb wichtig, keine installierte PHP-Version vorschnell als sicher einzustufen. Das gilt auch für die derzeit unterstützten Versionsreihen.
Ebenso wichtig ist der Unterschied zwischen einer regulär aktuellen PHP-Version und einer Version, in der die beiden neuen Schwachstellen tatsächlich behoben wurden. Eine bereits installierte Sicherheitsaktualisierung vom September 2026 beweist nicht, dass auch die jetzt angekündigten Sicherheitslücken geschlossen sind.
Sobald die neuen PHP-Versionen veröffentlicht werden, sollten die offiziellen Versionshinweise mit den installierten Versionen verglichen werden.
Warum sind WordPress-Websites besonders relevant?
WordPress verwendet PHP für große Teile der serverseitigen Verarbeitung. Das betrifft beispielsweise das Laden von Seiten, die Verarbeitung von Formularen und die Zusammenarbeit mit Plugins und Themes. Wenn die zugrunde liegende PHP-Laufzeit eine ausnutzbare Sicherheitslücke enthält, kann diese auch für WordPress-Installationen relevant sein.
Das bedeutet allerdings nicht, dass WordPress selbst eine neue Sicherheitslücke enthält. Die aktuelle Warnung richtet sich zunächst an die PHP-Laufzeitumgebung. Deshalb reicht es nicht aus, ausschließlich WordPress, Plugins und Themes zu aktualisieren. Auch die installierte PHP-Version des Webservers muss überprüft werden.
Wie wichtig eine zuverlässige Sicherheitsverwaltung ist, erklären wir ausführlich in unserem Beitrag WordPress gehackt: Ursachen, Folgen und Schutzmaßnahmen.
Schritt für Schritt: PHP-Version Deiner WordPress-Website überprüfen
Wenn Du eine WordPress-Website betreibst, kannst Du relativ einfach feststellen, welche PHP-Version aktuell verwendet wird. Dafür benötigst Du normalerweise keinen direkten Zugriff auf den Webserver.
Schritt 1: Website-Zustand in WordPress öffnen
- Melde Dich im Administrationsbereich Deiner WordPress-Website an.
- Wechsle im linken Menü zu „Werkzeuge“.
- Öffne den Bereich „Website-Zustand“.
- Wechsle dort zur Registerkarte „Bericht“ beziehungsweise „Info“.
- Klappe den Abschnitt „Server“ auf.
- Suche nach dem Eintrag „PHP-Version“.
WordPress zeigt dort die PHP-Version an, mit der die Website aktuell ausgeführt wird.
Notiere Dir die vollständige Versionsnummer. Sie wird benötigt, sobald die Sicherheitsupdates veröffentlicht sind.
Schritt 2: PHP-Version beim Webhoster kontrollieren
Viele Hosting-Anbieter ermöglichen die Verwaltung der PHP-Version über ihre Administrationsoberfläche. Die entsprechende Einstellung befindet sich häufig unter „PHP-Einstellungen“, „PHP-Version“ oder in der Domainverwaltung.
Bei mehreren Domains solltest Du jede Website einzeln überprüfen. Je nach Hosting-Konfiguration können unterschiedliche Domains verschiedene PHP-Versionen verwenden. Wenn Dein Hosting-Anbieter PHP selbst aktualisiert, solltest Du überprüfen, wann die neuen Sicherheitskorrekturen eingespielt werden.
Schritt 3: PHP-Version auf einem eigenen Server ermitteln
Auf selbst verwalteten Linux- oder Windows-Servern kannst Du die installierte PHP-Kommandozeilenversion häufig mit folgendem Befehl überprüfen:
php -vDie Ausgabe zeigt die Versionsnummer der verwendeten PHP-CLI-Installation.
Wichtig ist jedoch, dass der Webserver eine andere PHP-Version verwenden kann. Das gilt beispielsweise bei mehreren installierten PHP-FPM-Versionen, Containern oder getrennten Laufzeitumgebungen. Deshalb sollte zusätzlich kontrolliert werden, welche PHP-Version tatsächlich vom Webserver verwendet wird.
Bei WordPress unter Windows Server und IIS sind außerdem die konfigurierten FastCGI-Einstellungen und Handler-Zuordnungen relevant. Die Besonderheiten erläutern wir in unserem Beitrag WordPress auf Windows Server betreiben.
PHP-Sicherheitsupdates vom 21. Oktober 2026 installieren
Das PHP-Projekt hat angekündigt, die Sicherheitsupdates am 21. Oktober 2026 um 16:00 Uhr deutscher Zeit bereitzustellen. Sobald die korrigierten Versionen verfügbar sind, sollten Betreiber betroffener Webserver die Installation vorbereiten beziehungsweise durchführen.
Schritt 1: Vollständiges Backup erstellen
Vor einer größeren PHP-Aktualisierung empfiehlt sich eine vollständige Datensicherung. Dazu gehören sowohl die Dateien der Website als auch ihre Datenbank. Bei WordPress sollten außerdem die Konfiguration, sämtliche Plugins, Themes und hochgeladenen Medien gesichert werden.
Wie Du entsprechende Sicherungen automatisieren kannst, erklären wir unter Automatisierte WordPress-Backups unter Windows erstellen.
Schritt 2: Korrigierte PHP-Version auswählen
Sobald die offiziellen Sicherheitsupdates veröffentlicht wurden, kannst Du prüfen, welche Versionsreihen korrigiert wurden. Bei einem Hosting-Anbieter erfolgt die Umstellung häufig über die Administrationsoberfläche. Bei einem eigenen Server muss die passende PHP-Version über die verwendete Paketverwaltung oder die vorgesehene Installationsmethode installiert werden.
Wichtig ist, dass die neue Installation die Sicherheitskorrekturen tatsächlich enthält. Eine bloße Umstellung auf eine andere, ebenfalls verwundbare PHP-Version wäre keine ausreichende Lösung.
Schritt 3: Website nach der Aktualisierung testen
Nach der Installation solltest Du überprüfen, ob die neue PHP-Version tatsächlich vom Webserver verwendet wird. Bei einer WordPress-Website empfiehlt es sich außerdem, die Startseite, den Administrationsbereich und wichtige Funktionen wie Formulare oder den Warenkorb zu testen.
Falls eine Website nach der Aktualisierung nicht mehr erreichbar ist, können unter anderem inkompatible Plugins oder PHP-Erweiterungen verantwortlich sein. Weitere Hinweise findest Du in unserem Beitrag Website und Domain nicht erreichbar: Ursachen und Lösungen.
Was tun, wenn der PHP-Sicherheitspatch noch nicht verfügbar ist?
Bis zur Veröffentlichung der Korrekturen können Betreiber gefährdeter Webserver zusätzliche Schutzmaßnahmen ergreifen. CERT-EU empfiehlt insbesondere, öffentlich erreichbare PHP-Anwendungen zu identifizieren und bei hohem Risiko den Zugriff vorübergehend einzuschränken.
Für besonders kritische Systeme kann es notwendig sein, die Anwendung zeitweise vom öffentlichen Internet zu trennen. Das gilt vor allem, wenn eine Aktualisierung nicht kurzfristig möglich ist. Eine Web Application Firewall kann als zusätzliche Schutzschicht sinnvoll sein. Solange die genauen Schwachstellen nicht vollständig dokumentiert sind, lässt sich allerdings nicht garantieren, dass vorhandene Firewall-Regeln sämtliche möglichen Angriffe erkennen.
Ebenso wichtig sind sichere Datensicherungen und eine regelmäßige Überprüfung der Webserver-Protokolle.
Die Bedeutung besonders geschützter Backups haben wir bereits im Beitrag Warum unveränderliche Backups bei Cyberangriffen wichtig sind erläutert.
Sind auch Windows Server, IIS und XAMPP betroffen?
Die PHP-Sicherheitswarnung betrifft nicht ausschließlich Linux-Webserver. Auch Windows Server können betroffen sein, wenn darauf eine verwundbare PHP-Laufzeit ausgeführt wird.
Das gilt beispielsweise für IIS-Webserver mit FastCGI oder für Windows-Systeme, auf denen PHP zusammen mit Apache betrieben wird. Auch lokale Entwicklungsumgebungen wie XAMPP enthalten PHP. Wenn solche Testsysteme über das Netzwerk erreichbar sind oder produktiv verwendet werden, müssen ihre PHP-Versionen ebenfalls berücksichtigt werden.
Weitere Grundlagen zur lokalen Webentwicklung findest Du unter Localhost und XAMPP unter Windows.
Nach dem Austausch von PHP-Dateien muss außerdem sichergestellt werden, dass die neue Version tatsächlich geladen wird. Je nach Umgebung kann dafür ein kontrollierter Neustart der betroffenen PHP- oder Webserverdienste erforderlich sein.
Aus der Administratorpraxis: Was jetzt Priorität hat
Bei einer kritischen Schwachstelle in einer weit verbreiteten Laufzeitumgebung würde ich zunächst alle öffentlich erreichbaren Systeme erfassen. Besonders wichtig sind Server, auf denen mehrere Websites oder Anwendungen mit unterschiedlichen PHP-Versionen betrieben werden.
Danach sollten die installierten Versionen, die jeweiligen Verantwortlichen und die Möglichkeiten für eine kurzfristige Aktualisierung dokumentiert werden. Für geschäftskritische Webanwendungen empfiehlt sich ein kurzer Funktionstest in einer vergleichbaren Umgebung. Gleichzeitig sollte das Sicherheitsupdate nicht unnötig verzögert werden.
Besonders wichtig ist die Kontrolle nach der Installation. Denn eine erfolgreich aktualisierte PHP-Kommandozeile bedeutet nicht automatisch, dass auch sämtliche Websites bereits mit der korrigierten Version arbeiten.
Aus eigener Erfahrung und aufgrund von Informationen von Firmen wissen wir, dass einige Firmen vorsichtshalber Ihre Webserver heruntergefahren haben und diese erst nach Veröffentlichung und Installation der Sicherheitspatches wieder hochfahren werden. Das Risiko ist für viele Firmen aktuell einfach zu hoch.
FAQ: Häufige Fragen zu den kritischen PHP-Sicherheitslücken
Das PHP-Sicherheitsteam hat zwei kritische Sicherheitslücken bestätigt. Beide werden mit CVSS v4.0 9,2 bewertet. CERT-EU nennt die Kennungen CVE-2026-109618 und CVE-2026-109619.
Das PHP-Projekt hat die Veröffentlichung für den 21. Oktober 2026 um 14:00 Uhr UTC angekündigt. In Deutschland entspricht das 16:00 Uhr MESZ.
WordPress verwendet PHP und kann deshalb grundsätzlich betroffen sein, wenn die installierte PHP-Laufzeit verwundbar ist. Welche konkreten Konfigurationen angreifbar sind, muss anhand der endgültigen Sicherheitsinformationen geprüft werden.
Im WordPress-Dashboard findest Du unter Werkzeuge, Website-Zustand und Bericht beziehungsweise Info den Abschnitt Server. Dort wird die PHP-Version der Website angezeigt.
Nein. Ein WordPress-Update aktualisiert nicht automatisch die PHP-Laufzeit des Webservers. Betreiber müssen die PHP-Version separat über den Hosting-Anbieter oder die Serververwaltung aktualisieren.
Fazit: PHP-Sicherheitsupdates haben jetzt höchste Priorität
Die Ankündigung zweier kritischer PHP-Sicherheitslücken mit jeweils CVSS 9,2 ist für Betreiber von Websites und Webservern ein ernstes Warnsignal. Besonders bei öffentlich erreichbaren PHP-Anwendungen sollten die installierten Versionen und die vorhandenen Schutzmaßnahmen kurzfristig überprüft werden.
Noch sind nicht sämtliche technischen Einzelheiten bekannt. Entscheidend wird deshalb die offizielle Sicherheitsveröffentlichung vom 21. Oktober 2026 sein. Sie soll zeigen, welche PHP-Versionen betroffen sind und welche Updates die Schwachstellen tatsächlich schließen.
Wer eine WordPress-Website betreibt, sollte jetzt seine PHP-Version ermitteln, eine aktuelle Datensicherung bereithalten und die Sicherheitsupdates direkt nach ihrer Veröffentlichung einplanen. Auf besonders kritischen Systemen können bis dahin zusätzliche Zugriffsbeschränkungen sinnvoll sein.
Neueste Kommentare