Am 21. Oktober 2026 hat das PHP-Projekt Korrekturen für zwei kritische Sicherheitslücken veröffentlicht, CVE-2026-109618 und CVE-2026-109619. Sie können es Angreifern ermöglichen, ohne Anmeldung Code auf einem Server auszuführen. Läuft Ihre Website mit PHP, und das tut jede WordPress-Website, sollten Sie das heute prüfen. Hier lesen Sie, was passiert ist, was zu tun ist und wie wir auf den von uns betreuten Websites vorgegangen sind.
Was sind CVE-2026-109618 und CVE-2026-109619?
Beide sind Fehler in PHP selbst, jeweils mit 9,2 auf der CVSS-v4.0-Skala bewertet, und das PHP-Projekt stuft sie als kritisch ein. Sie erlauben Remote Code Execution ohne Authentifizierung: Jemand ohne Konto auf Ihrer Website könnte Ihren Server dazu bringen, seinen Code auszuführen.
- CVE-2026-109618: Wenn PHP der Speicher ausgeht, kann es unterbrochen werden, während seine internen Anfragedaten erst halb eingerichtet sind. Die Bereinigung, die darauf folgt, behandelt diese ungültigen Daten dann womöglich als gültig.
- CVE-2026-109619: Interne Daten einer Anfrage können länger bestehen als der Speicher, auf den sie verweisen, und eine spätere Anfrage auf demselben Worker kann sie verwenden.
Ist Ihre Website betroffen?
Sehr wahrscheinlich, wenn sie auf PHP basiert und seitdem nicht aktualisiert wurde. Die Sicherheitsmeldung betrifft jede PHP-Installation, die Webanfragen beantwortet, darunter PHP-FPM, Apache mit mod_php, php-cgi, FrankenPHP und LiteSpeed. Das höchste Risiko sieht sie bei mod_php.
WordPress, Theme und Plugins aktuell zu halten, ist gute Praxis, und wir empfehlen es in unserem Leitfaden zur WordPress-Sicherheit. Diese Lücke schließt es aber nicht. Der Fehler liegt in der Ebene darunter.
Was jetzt zu tun ist
- Ermitteln Sie Ihre PHP-Version. In WordPress: Werkzeuge, Website-Zustand, Bericht, Server.
- Aktualisieren Sie auf eine korrigierte Version: PHP 8.5.12, 8.4.27, 8.3.36 oder 8.2.35. Bei Managed Hosting lassen Sie sich von Ihrem Anbieter bestätigen, dass das Update erfolgt ist.
- Stellen Sie sicher, dass die neue Version wirklich läuft. Die PHP-Worker müssen neu starten, um sie zu laden.
- Erst ein Backup, dann testen. Prüfen Sie direkt danach Startseite, Formulare, Checkout und Admin-Bereich.
- Planen Sie voraus, wenn Sie einen alten Versionszweig nutzen. PHP 8.1 und älter erhalten keine Updates des Projekts mehr, und der Support für PHP 8.2 endet am 31. Dezember 2026.
Wenn Sie nicht sofort aktualisieren können, nennt die Sicherheitsmeldung vorläufige Einstellungen. Nach eigener Aussage verringern sie das Risiko, beseitigen es aber nicht. Sicher ist nur das Update.
Wie unser Team vorgegangen ist
Wir betreuen die Websites, die wir bauen, auf unserem eigenen Server. Diese Lücke war also unsere Aufgabe. Das PHP-Projekt veröffentlichte die Korrekturen am 21. Oktober um 14:00 Uhr UTC. Am nächsten Morgen um 9:27 Uhr UTC, keine 20 Stunden später, lief unser Update bereits. So sind wir vorgegangen:
- Zuerst ein Backup. Wir haben die PHP-Konfiguration und die Liste der installierten Pakete gesichert, um bei einem Fehler zum vorherigen Stand zurückkehren zu können.
- Nur das, was die Korrektur erforderte. Wir haben die PHP-Pakete aktualisiert und sonst nichts, und die Einstellungen jeder Website blieben unverändert.
- Jeder unterstützte Versionszweig. Wir haben 8.2, 8.3, 8.4 und 8.5 auf die jeweils korrigierte Version gebracht, nicht nur die Version, die unsere Websites nutzen.
- Eine Prüfung jeder Website. Danach haben wir die Websites einzeln aufgerufen, auch Kontaktseiten und Sprachversionen, und bestätigt, dass jede normal antwortet.
Heldenhaft ist daran nichts. Genau dafür gibt es Wartung und Support: Jemand hat die Systeme bereits im Blick, wenn die Meldung eintrifft, kennt die Konfiguration des Servers und hat einen Weg zurück vorbereitet. Was diese Arbeit umfasst, lesen Sie in unserer Checkliste zur Website-Wartung.
Fragen an alle, die Ihre Website betreuen
- Mit welcher PHP-Version läuft meine Website, und wann wurde sie zuletzt aktualisiert?
- Wie würden Sie von einer kritischen Sicherheitslücke erfahren, und wie schnell würden Sie handeln?
- Gibt es ein aktuelles Backup, und hat schon jemand versucht, es wiederherzustellen?
- Wer prüft die Website nach einem Update?
Wenn sich diese Fragen nicht schnell beantworten lassen, lohnt es sich, das vor der nächsten Sicherheitsmeldung zu ändern.
Häufig gestellte Fragen
Welche PHP-Versionen schließen CVE-2026-109618 und CVE-2026-109619?
PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35, laut der Sicherheitsmeldung des PHP-Projekts. Ihre Versionsnummer muss diesem Release entsprechen oder höher sein, oder Ihr Anbieter muss bestätigen, dass er die Korrekturen zurückportiert hat.
Kann eine WordPress-Website betroffen sein?
Ja, wenn das PHP darunter nicht gepatcht ist. Die Lücken liegen in PHP selbst, hängen also nicht von Theme oder Plugins ab, und ein WordPress-Update schließt sie nicht. Das Update muss auf dem Server erfolgen.
Schützt mich stattdessen eine Firewall oder eine Servereinstellung?
Nicht vollständig. Die Sicherheitsmeldung nennt vorläufige Einstellungen, die das Risiko verringern, und stellt klar, dass sie eine Installation nicht sicher machen. Sicher ist nur das Update.
Was, wenn meine Website mit PHP 8.1 oder älter läuft?
Für diese Versionen veröffentlicht das PHP-Projekt keine Updates mehr. Die Sicherheitsmeldung weist darauf hin, dass manche Anbieter Korrekturen zurückportieren. Fragen Sie also Ihren Anbieter, oder steigen Sie auf eine unterstützte Version um. PHP 8.2 selbst erhält nach dem 31. Dezember 2026 keine Sicherheitskorrekturen mehr.
Wie finde ich heraus, welche PHP-Version meine Website nutzt?
In WordPress öffnen Sie „Werkzeuge“, dann „Website-Zustand“, dann „Bericht“ und dort „Server“. Bei anderen Systemen zeigt meist das Kundenmenü Ihres Hosters die Version an. Sonst fragen Sie Ihren Hoster oder Ihr Entwicklungsteam.
Sie wissen nicht, ob Ihre Website schon aktualisiert wurde? Schicken Sie uns die Adresse. Wir sagen Ihnen, was Sie prüfen sollten.
