6 Minuten
Kritische PHP-Sicherheitslücke: Was Shop- und Website-Betreiber jetzt tun sollten
Wenn Sie einen Onlineshop oder eine Website betreiben, sind Sie von dieser Meldung vermutlich betroffen, auch wenn Sie den Begriff „PHP“ noch nie gehört haben. Hier die wichtigsten Informationen ohne Fachchinesisch.
Stand: 22. Oktober 2026. Die Lage ändert sich schnell, wir aktualisieren diesen Beitrag bei wichtigen Neuigkeiten.
Worum geht es?
PHP ist eine Programmiersprache, auf der sehr viele Websites laufen. Nach Angaben der Sicherheitsfirma Tenable sind es rund 69 % aller Websites, bei denen die serverseitige Technik bekannt ist. Auch bekannte Systeme wie WordPress, Joomla, Drupal, Magento, Shopware, OXID eShop oder Laravel-Anwendungen basieren darauf.
Am 21. Oktober 2026 hat das PHP-Projekt Updates für zwei Sicherheitslücken veröffentlicht:
- CVE-2026-109618: Ein Fehler im Umgang mit knappem Arbeitsspeicher. Wenn dem Server der Speicher ausgeht, während eine Anfrage verarbeitet wird, kann es zu Folgefehlern kommen, die sich ausnutzen lassen.
- CVE-2026-109619: Ein Fehler, bei dem „Reste“ einer Anfrage im Speicher zurückbleiben und von einer späteren Anfrage fälschlich weiterverwendet werden. Auch hier können Angreifer unter Umständen Schaden anrichten.
Die Kennzeichnung „CVE“ ist übrigens nur eine Art Aktenzeichen für bekannte Sicherheitslücken, damit alle über dasselbe Problem sprechen.
Warum ist das so ernst?
Beide Lücken wurden vom PHP-Projekt mit 9,2 von 10 Punkten bewertet („kritisch“). Der Grund: Ein Angreifer braucht keinen Benutzernamen und kein Passwort. Im ungünstigsten Fall kann er über das Internet fremden Programmcode auf dem Server ausführen. Man spricht von „Remote Code Execution“. Vereinfacht gesagt: Jemand kann aus der Ferne die Kontrolle über den Server übernehmen. Dadurch könnten zum Beispiel Kundendaten ausgelesen, Zahlungsseiten manipuliert oder Schadsoftware eingeschleust werden.
Ein Login-Schutz oder ein starkes Passwort hilft hier nicht, weil der Angriff stattfindet, bevor Ihre eigene Anwendung überhaupt prüft, wer da anklopft.
Wird das tatsächlich ausgenutzt?
Hier lohnt ein nüchterner Blick, denn die Berichte gehen auseinander:
- Details zu den Lücken sind offenbar schon vor der geplanten Veröffentlichung durchgesickert. Das PHP-Projekt hat sein Update deshalb vorgezogen.
- Amazon beobachtete bereits am 17. Oktober einen ersten Angriffsversuch auf einen Testserver und spricht inzwischen von breit angelegten Angriffsversuchen. Auch andere Sicherheitsfirmen melden Versuche.
- Unklar ist, ob diese Versuche bei echten Systemen Erfolg gehabt hätten. Im Netz kursierender Beispielcode ist laut Tenable nicht überprüft und kann selbst Schadsoftware enthalten.
- Red Hat stuft die Lücke wegen des erforderlichen Aufwands für den Angriff als etwas weniger gefährlich ein (Bewertung 8,1 statt 9,8) und hält einen erfolgreichen Angriff bei gängigen Server-Konfigurationen für schwierig. Andere Firmen, etwa Datadog, melden dagegen, sie hätten funktionierende Angriffe nachgestellt.
Unser Fazit: Kein Grund zur Panik, aber auch keiner zum Abwarten. Wenn ein Update verfügbar ist und Angreifer bereits suchen, sollte man es einspielen.
Bin ich betroffen?
Betroffen ist grundsätzlich jede Website, die mit PHP läuft. Entscheidend ist die PHP-Version, die auf Ihrem Server im Einsatz ist:
| PHP-Version | Status |
|---|---|
| 8.5 | Sicher ab 8.5.12 |
| 8.4 | Sicher ab 8.4.27 |
| 8.3 | Sicher ab 8.3.36 |
| 8.2 | Sicher ab 8.2.35 |
| 8.1 und älter | Kein offizielles Update. Ein Wechsel auf eine neuere Version ist nötig. |
Hinweis: Viele Hoster und Linux-Distributionen liefern Korrekturen unter eigener Versionsnummer aus. Eine „alte“ Versionsnummer allein bedeutet deshalb nicht zwingend, dass die Lücke offen ist. Genau das sollte Ihr Anbieter bestätigen.
Was sollten Sie jetzt tun?
1. Hoster oder Agentur fragen
Schreiben Sie Ihrem Hosting-Anbieter oder Ihrer Agentur. Eine kurze Nachricht genügt:
„Wurde PHP auf unserem Server gegen die Lücken CVE-2026-109618 und CVE-2026-109619 aktualisiert? Welche PHP-Version läuft aktuell?“
Bei klassischem Shared Hosting (ein Server, viele Kunden) kümmert sich normalerweise der Anbieter um das Update. Lassen Sie sich das bestätigen. Bei einem eigenen Server oder einer Cloud-Instanz ist meist Ihre IT oder Ihr Dienstleister zuständig.
2. Auf veraltetes PHP achten
Läuft Ihre Website noch mit PHP 8.1 oder älter, bekommt sie von PHP selbst kein Update mehr. Das ist ein guter Anlass, die Umstellung auf eine aktuelle Version zu planen. Das kann Anpassungen an Shop-Modulen oder Themes nötig machen, daher lieber jetzt planen als im Notfall.
3. Nach dem Update: Kurz prüfen
Rufen Sie Ihre Website auf, testen Sie den Bestellvorgang und das Kontaktformular. Bei Auffälligkeiten melden Sie sich bei Ihrem Dienstleister.
4. Auf Auffälligkeiten achten
Verdächtig wären zum Beispiel unbekannte Dateien, neue Admin-Benutzer, ungewöhnliche Bestellungen, plötzlich langsame Seiten oder Warnungen von Google oder Ihrem Hoster. Im Zweifel lassen Sie Ihren Server prüfen.
5. Backups bereithalten
Ein aktuelles, getrenntes Backup ist immer Gold wert, gerade vor Updates.
Was, wenn ein sofortiges Update nicht möglich ist?
Dann können Administratoren das Risiko vorübergehend verringern, etwa durch bestimmte PHP-Einstellungen (zum Beispiel session.upload_progress.enabled=0, bei PHP 8.5 zusätzlich fatal_error_backtraces=0) und einen Neustart der PHP-Prozesse. Das ist kein Ersatz für das Update, sondern nur eine Übergangslösung für Fachleute. Als Betreiber sollten Sie das nicht selbst versuchen.
Häufige Fragen
Muss ich meinen Shop abschalten? Nein. Wenn Ihr Anbieter das Update bestätigt, nicht. Ist ein Update noch nicht möglich, sprechen Sie mit Ihrem Dienstleister über Zwischenmaßnahmen.
Reicht es, wenn mein Shop-System (z. B. WordPress oder OXID) aktuell ist? Nein. Die Lücke liegt in PHP selbst, nicht im Shop-System. Es braucht also ein Update der PHP-Umgebung auf dem Server.
Schützt mich ein Firewall-Dienst? Teilweise. Einige Anbieter haben Schutzregeln veröffentlicht, die aber nur den Datenverkehr abdecken, der tatsächlich über sie läuft. Sie ersetzen das Update nicht.
Wir helfen Ihnen weiter
Sie sind unsicher, welche PHP-Version bei Ihnen läuft, oder möchten Ihren OXID-Shop oder Ihre Website auf einen sicheren Stand bringen? Wir unterstützen Sie bei Prüfung, Update und Umstellung.