Zwei schwerwiegende Sicherheitslücken in PHP haben am 21. Oktober 2026 für erhebliche Unruhe gesorgt. Zahlreiche Websites wurden vorsorglich abgeschaltet, Hosting-Anbieter mussten kurzfristig reagieren. Betroffen waren nicht nur WordPress-Websites, sondern grundsätzlich alle Webanwendungen, die verwundbare PHP-Versionen einsetzen. Was bedeutet das für Website-Betreiber, wer ist für die Sicherheitsupdates verantwortlich und warum ist auch nach deren Installation weiterhin Aufmerksamkeit gefragt?
Das Problem liegt nicht bei WordPress, sondern bei PHP
PHP ist eine Programmiersprache, die auf Webservern eingesetzt wird und einen wesentlichen Teil der technischen Grundlage vieler Websites und Webanwendungen bildet.
Neben WordPress verwenden beispielsweise auch TYPO3, Joomla!, Drupal, Moodle und zahlreiche individuell entwickelte Webanwendungen PHP.
Am 21. Oktober 2026 wurden Sicherheitsupdates für zwei kritische Schwachstellen veröffentlicht:
- CVE-2026-109618
- CVE-2026-109619
Beide Schwachstellen wurden mit einem CVSS-Wert von 9,2 als kritisch eingestuft. Unter bestimmten Bedingungen ermöglichen sie Angreifern, ohne vorherige Anmeldung fremden Programmcode auf einem betroffenen Server auszuführen.
Das Besondere an diesem Sicherheitsvorfall: Die Schwachstellen befinden sich nicht in einem bestimmten Content-Management-System, Plugin oder Theme, sondern direkt in PHP.
Ein vollständig aktualisiertes WordPress schützt deshalb nicht automatisch vor einer Sicherheitslücke in der PHP-Umgebung des Servers.
Wer ist für die Sicherheitsupdates verantwortlich?
Hier muss klar zwischen der Website selbst und der technischen Serverumgebung unterschieden werden.
Bei klassischen Webhosting-Angeboten wird PHP vom Hosting-Anbieter bereitgestellt und verwaltet. Entsprechend liegt es auch in dessen Verantwortungsbereich, die erforderlichen Sicherheitsupdates für die PHP-Umgebung einzuspielen.
Webdesigner, WordPress-Agenturen und Website-Betreuer haben auf diese Serverkomponenten normalerweise keinen direkten Einfluss.
Sie können zwar häufig im Hosting-Panel zwischen verschiedenen PHP-Versionen wechseln, aber keine Sicherheitskorrekturen innerhalb einer PHP-Version installieren.
Anders sieht es bei selbstverwalteten Servern aus. Wer einen eigenen Server administriert oder die Serverwartung ausdrücklich übernommen hat, ist auch für die entsprechenden Sicherheitsupdates verantwortlich.
Die Verantwortung für die Absicherung der PHP-Laufzeitumgebung liegt also bei der Stelle, die den Server tatsächlich verwaltet – nicht automatisch bei der Person oder Agentur, die eine Website erstellt hat.
An wen sollten sich Website-Betreiber wenden?
Bei Fragen zum Sicherheitsstatus der PHP-Umgebung ist der Hosting-Anbieter der richtige Ansprechpartner.
Er stellt die Serverumgebung bereit, installiert die entsprechenden Sicherheitsupdates und kann Auskunft darüber geben, ob die betroffenen PHP-Versionen abgesichert wurden.
Die Erstellung oder Betreuung einer Website durch eine Webagentur bedeutet nicht automatisch, dass diese auch für die Administration und Absicherung der Hosting-Infrastruktur verantwortlich ist.
Wer einen selbstverwalteten Server betreibt, muss sich dagegen selbst beziehungsweise über den beauftragten Serveradministrator um die notwendigen Updates kümmern.
Wie haben die Hosting-Anbieter reagiert?
Nach Bekanntwerden der Schwachstellen haben zahlreiche Hosting-Anbieter kurzfristig reagiert, Sicherheitsmaßnahmen ergriffen und die bereitgestellten PHP-Updates installiert.
Teilweise waren Websites oder Verwaltungsoberflächen vorübergehend nicht erreichbar. Einige Anbieter haben auch ältere PHP-Versionen mit speziellen Sicherheitskorrekturen versorgt.
Am 21. Oktober wurden unter anderem folgende korrigierte PHP-Versionen veröffentlicht (Angaben ohne Gewähr!):
| PHP-Zweig | Sicherheitsupdate |
|---|---|
| PHP 8.2 | 8.2.35 |
| PHP 8.3 | 8.3.36 |
| PHP 8.4 | 8.4.27 |
| PHP 8.5 | 8.5.12 |
Für ältere Versionen können je nach Hosting-Anbieter gesonderte Sicherheitskorrekturen bereitgestellt werden.
Die schnelle Reaktion vieler Anbieter ist positiv zu bewerten. Dennoch sollte nicht pauschal davon ausgegangen werden, dass jede Hosting-Umgebung bereits abgesichert ist.
Wer unsicher ist, sollte beim eigenen Hosting-Anbieter nachfragen, ob die beiden konkreten Schwachstellen geschlossen wurden.
Warum auch nach den Sicherheitsupdates ein Restrisiko bleibt
Ein installiertes Sicherheitsupdate schließt die bekannte Schwachstelle. Es kann jedoch nicht rückwirkend ausschließen, dass eine Website oder ein Server bereits vor dem Update angegriffen wurde.
Zwischen der Bekanntgabe einer Sicherheitslücke und der Installation der entsprechenden Korrektur kann ein Zeitraum liegen, in dem Angreifer versuchen, verwundbare Systeme auszunutzen.
Ist ein Angriff in diesem Zeitraum erfolgreich gewesen, können beispielsweise zusätzliche Benutzerkonten, manipulierte Dateien oder versteckte Zugänge zurückbleiben.
Diese verschwinden nicht automatisch durch ein späteres PHP-Update.
Das bedeutet ausdrücklich nicht, dass sämtliche Websites, die zeitweise mit einer verwundbaren PHP-Version betrieben wurden, kompromittiert sind.
Es bedeutet aber, dass ein erfolgreich installiertes Sicherheitsupdate und die Überprüfung auf eine mögliche frühere Kompromittierung zwei unterschiedliche Aufgaben sind.
Worauf Website-Betreiber jetzt achten sollten
In den nächsten Tagen und Wochen ist es sinnvoll, PHP-basierte Websites besonders aufmerksam zu beobachten.
Mögliche Auffälligkeiten sind:
- Ungewöhnliche Fehlermeldungen: Plötzlich auftretende Serverfehler, PHP-Fehler oder nicht mehr funktionierende Seitenbereiche.
- Deutlich längere Ladezeiten: Eine Website reagiert ohne erkennbare Ursache erheblich langsamer als gewohnt.
- Unbekannte Benutzerkonten: Im Administrationsbereich erscheinen Benutzer, die niemand angelegt hat – insbesondere mit erweiterten Berechtigungen.
- Unbekannte Dateien oder Plugins: Neue PHP-Dateien, Erweiterungen oder Verzeichnisse tauchen auf, ohne dass sie bewusst installiert wurden.
- Veränderte Inhalte: Texte, Links, Weiterleitungen oder andere Website-Inhalte wurden ohne nachvollziehbaren Grund verändert.
- Auffällige Weiterleitungen: Besucher werden plötzlich auf fremde Websites umgeleitet.
- Ungewöhnliche E-Mail-Aktivitäten: Über die Website werden unerwartet große Mengen an Nachrichten versendet.
- Warnungen von Sicherheitsdiensten: Browser, Suchmaschinen oder eingesetzte Sicherheitssysteme melden verdächtige Aktivitäten.
- Unerklärliche Änderungen an Einstellungen: Beispielsweise veränderte Administratorrechte, unbekannte Cronjobs oder manipulierte Konfigurationsdateien.
Wichtig: Nicht jede dieser Auffälligkeiten ist automatisch ein Hinweis auf einen erfolgreichen Angriff. Langsame Ladezeiten oder Fehlermeldungen können zahlreiche andere Ursachen haben.
Umgekehrt können kompromittierte Websites auch völlig unauffällig funktionieren.
Deshalb reicht es nicht aus, ausschließlich auf sichtbare Fehler oder ungewöhnliches Verhalten zu achten.
Gerade bei Websites mit sensiblen Daten können zusätzliche technische Sicherheitsprüfungen sinnvoll sein. Dazu gehören beispielsweise die Kontrolle von Serverprotokollen, Benutzerkonten und unerwartet veränderten Dateien.
Wer konkrete Anzeichen für eine Kompromittierung entdeckt, sollte diese fachlich untersuchen lassen und nicht lediglich versuchen, die sichtbaren Symptome zu beseitigen.
Werden solche Sicherheitsvorfälle durch KI künftig häufiger?
Ich gehe davon aus, dass uns vergleichbare Sicherheitsvorfälle künftig häufiger oder zumindest in kürzeren Abständen beschäftigen könnten.
Ein wesentlicher Faktor dabei ist der zunehmende Einsatz künstlicher Intelligenz in der Softwareanalyse.
KI-gestützte Werkzeuge können Programmcode untersuchen, verdächtige Muster erkennen und die Suche nach möglichen Schwachstellen beschleunigen.
Aufgaben, die bisher umfangreiche manuelle Analysen erforderten, lassen sich damit teilweise automatisieren.
Diese Entwicklung hat zwei Seiten.
Einerseits können Entwickler und Sicherheitsforscher Schwachstellen früher entdecken und schließen.
Andererseits können auch Angreifer entsprechende Technologien nutzen, um potenzielle Angriffspunkte schneller zu identifizieren und Angriffe vorzubereiten.
KI verändert damit nicht nur die Möglichkeiten der Sicherheitsforschung, sondern auch die Geschwindigkeit, mit der potenzielle Schwachstellen untersucht werden können.
Ob dadurch tatsächlich insgesamt mehr Sicherheitslücken entstehen oder vor allem bereits vorhandene Schwachstellen schneller gefunden werden, lässt sich derzeit nicht abschließend beurteilen.
Ich gehe allerdings davon aus, dass sich die Zeit zwischen dem Bekanntwerden einer Sicherheitslücke und ersten Angriffen künftig weiter verkürzen könnte.
Für Website-Betreiber, Hosting-Anbieter und Softwareentwickler bedeutet das, dass Sicherheitsinformationen schneller ankommen und erforderliche Maßnahmen zügiger umgesetzt werden müssen.
Was bedeutet das langfristig für Website-Betreiber?
Der aktuelle Vorfall zeigt, dass Website-Sicherheit weit über regelmäßige Updates von WordPress, Plugins und Themes hinausgeht.
Eine Website ist immer Teil einer größeren technischen Infrastruktur. Dazu gehören der Webserver, die eingesetzte Programmiersprache, Datenbanken und weitere Systemkomponenten.
Eine Schwachstelle in einer dieser Komponenten kann auch dann ein Risiko darstellen, wenn die Website selbst technisch einwandfrei gepflegt wird.
Umso wichtiger werden eine zuverlässige Hosting-Umgebung, regelmäßige Sicherheitsupdates, funktionierende Backups und eine aufmerksame Überwachung.
Ebenso entscheidend ist eine klare Aufgabenverteilung zwischen Hosting-Anbieter, Website-Betreiber und betreuender Agentur.
Denn nicht jede Sicherheitslücke lässt sich auf der Ebene der Website beheben.
Mein Fazit
Die kritischen PHP-Sicherheitslücken vom Oktober 2026 haben deutlich gemacht, wie eng Websites und ihre technische Infrastruktur miteinander verbunden sind.
Viele Hosting-Anbieter haben schnell und verantwortungsbewusst reagiert. Die bereitgestellten Sicherheitsupdates sind der entscheidende Schritt, um die bekannten Schwachstellen zu schließen.
Damit ist die Arbeit jedoch nicht in jedem Fall abgeschlossen. Insbesondere bei Websites mit sensiblen Daten sollte auch die Möglichkeit einer Kompromittierung vor dem Update berücksichtigt werden.
Der aktuelle Vorfall zeigt außerdem, dass regelmäßige WordPress-Updates allein nicht ausreichen, um eine Website umfassend abzusichern.
Website-Sicherheit beginnt bereits bei der Serverinfrastruktur und erfordert das Zusammenspiel von Hosting-Anbieter, Website-Betreiber und betreuender Agentur – mit klar definierten Zuständigkeiten.
Je schneller Sicherheitslücken entdeckt und möglicherweise ausgenutzt werden können, desto wichtiger werden zuverlässige Informationswege, klare Verantwortlichkeiten und eine kontinuierliche technische Betreuung.