Kritische PHP-Lücke: Bei uns bereits geschlossen

Im Oktober wurden zwei kritische Sicherheitslücken in PHP bekannt – der Programmiersprache, mit der die meisten Websites laufen. Ist deine Website bei uns gehostet, musst du nichts tun: Das Update ist seit 21. Oktober auf allen unseren Webservern installiert und aktiv.

Was war das Problem?

Auf PHP laufen WordPress, Joomla, viele Online-Shops und unzählige andere Websites. Die beiden Lücken steckten in PHP selbst, nicht in einem bestimmten System oder Plugin. Betroffen war damit praktisch jede PHP-Website, egal mit welcher Software sie gebaut ist.

Über eine präparierte Anfrage an die Website hätte ein Angreifer eigenen Code auf dem Server ausführen können – ohne Login und noch bevor die Website-Software überhaupt läuft. Die Lücken tragen die Kennungen CVE-2026-109618 und CVE-2026-109619 und sind beide mit 9,2 von 10 Punkten als kritisch eingestuft.

Was wir getan haben

• 20. Oktober: Das PHP-Projekt kündigt ein dringendes Sicherheitsupdate an.
• 21. Oktober, 02:14 Uhr: PHP veröffentlicht die korrigierten Versionen – früher als die angekündigten 16:00 Uhr, weil Details zu den Lücken schon vorab durchgesickert waren.
• Danach bauen die Hersteller unserer Hosting-Software ihre Pakete neu und liefern sie aus.
• 21. Oktober, 16:57 Uhr: Das Update ist auf allen unseren Webservern installiert und aktiv – am selben Tag, an dem der Fix erschienen ist.

Musst du etwas tun?

Liegt deine Website bei uns: nein. Das Update ist bereits aktiv.

Betreibst du PHP woanders – auf einem eigenen Server oder bei einem anderen Hoster –, prüf, ob dort eine korrigierte Version läuft, oder frag bei deinem Anbieter nach:

• Korrigiert sind PHP 8.2.35, 8.3.36, 8.4.27 und 8.5.12.
• PHP 8.1 und älter bekommen vom PHP-Projekt keinen Fix mehr. Läuft deine Website noch damit, solltest du auf eine aktuelle Version umsteigen.