Was hat das PHP-Team am 21. Oktober 2026 gemeldet?
Die offizielle Sicherheitsmeldung nennt CVE-2026-109618 und CVE-2026-109619. Beide können die Ausführung fremden Codes auf einem Server ermöglichen, ohne dass Angreifer angemeldet sind. Betroffen sind PHP-Installationen, die Webanfragen bearbeiten. Die Meldung nennt unter anderem PHP-FPM, Apache mit mod_php, php-cgi, FrankenPHP und LiteSpeed.
Die technische Bewertung stammt vom PHP-Team. Dieser Beitrag ordnet sie für Website-Betreiber ein. Ob deine konkrete Installation bereits abgesichert ist, muss dein Hosting-Anbieter anhand der tatsächlich eingesetzten Pakete bestätigen.
Welche PHP-Versionen enthalten die Korrekturen?
Das sind die vom PHP-Projekt am 21. Oktober 2026 veröffentlichten Korrekturstände. Spätere Sicherheitsversionen solltest du mit deinem Anbieter abgleichen. Linux-Distributionen und Anbieter mit Langzeitpflege können die Korrekturen in eigene Pakete zurückportieren. Eine ältere angezeigte Versionsnummer allein reicht deshalb nicht für eine verlässliche Bewertung.
- PHP 8.2: Sicherheitsupdate auf 8.2.35.
- PHP 8.3: Sicherheitsupdate auf 8.3.36.
- PHP 8.4: Sicherheitsupdate auf 8.4.27.
- PHP 8.5: Sicherheitsupdate auf 8.5.12.
Was solltest du als Website-Betreiber jetzt veranlassen?
Kläre zuerst, wer den technischen Betrieb deiner Website verantwortet. Du musst dafür weder selbst Servereinstellungen ändern noch ungeprüft auf eine neue Hauptversion umstellen.
- Frage den Hoster oder die betreuende Agentur, ob deine Website und ihre Zusatzdienste PHP verwenden.
- Bitte um Bestätigung, ob die beiden genannten Sicherheitslücken auf eurer Installation behoben sind.
- Lass die Aktualisierung einschließlich notwendiger Neustarts vom zuständigen Betreiber durchführen und dokumentieren.
- Vereinbare eine Prüfung der wichtigen Funktionen nach dem Update, etwa Kontaktformular, Anmeldung und gegebenenfalls Bestellabschluss.
Ein Beispiel
Angenommen, ein Handwerksbetrieb nutzt WordPress und erhält eine Warnung seines Hosters. Der Betrieb fragt nach dem Korrekturstand für beide CVE-Nummern und lässt anschließend das Kontaktformular prüfen. Der Relaunch kann getrennt davon geplant werden. Eine neue Website zu beauftragen ersetzt die kurzfristige Absicherung des bestehenden Systems nicht. Das Beispiel beschreibt keinen realen Kundenfall.
Warum nutzt unsere Website kein PHP?
Wir setzen bei diesem Webauftritt auf React, TypeScript, statisch ausgelieferte Seiten und JavaScript auf dem Server. Eine PHP-Laufzeit gehört nicht dazu. Die hier beschriebenen PHP-Sicherheitslücken betreffen diese Website deshalb nicht.
Daraus folgt keine pauschale Sicherheitsgarantie. Auch unsere verwendeten Bibliotheken, Serverfunktionen und Hosting-Dienste müssen gepflegt werden. Ein gepflegtes PHP-System kann weiterhin eine passende Lösung sein. Entscheidend sind Anforderungen, Zuständigkeiten und laufender Betrieb.
Weitere Fragen zum Thema
Reicht ein WordPress-Update gegen diese PHP-Sicherheitslücken?
Ein WordPress-Update und ein Update der PHP-Laufzeit sind unterschiedliche Arbeiten. Lass dir vom Hoster bestätigen, dass die PHP-Pakete gegen beide genannten Lücken korrigiert sind. Die Prüfung des CMS und seiner Erweiterungen gehört zusätzlich zur laufenden Pflege.
Muss ich meine PHP-Website wegen der Meldung neu erstellen lassen?
Die Meldung allein ist kein Grund für einen sofortigen Neubau. Zuerst muss der zuständige Betreiber die vorhandene Installation absichern. Ob später ein Relaunch oder ein Wechsel der Technik sinnvoll ist, hängt von deinen Anforderungen und dem Zustand der Website ab.