PHP ist die Programmiersprache hinter einem großen Teil des Webs, etwa hinter vielen WordPress-Seiten und Webshops. Am 21. Oktober 2026 hat CERT.at vor zwei kritischen Sicherheitslücken in PHP gewarnt. Angreifer können damit ohne Anmeldung aus der Ferne eigenen Code auf dem Webserver ausführen. Für alle unterstützten PHP-Versionen gibt es inzwischen Updates.
Die Lücken stecken in PHP selbst, nicht in einzelnen Plugins oder Websites. Betroffen sind laut PHP-Projekt alle Installationen, die Web-Anfragen verarbeiten, darunter PHP-FPM, Apache mit mod_php und LiteSpeed. CERT.at nennt einen Schweregrad von 9,2 von 10 (CVSS 4.0).
Welche Version ist betroffen?
| PHP-Version | Behoben in | Sicherheitsupdates bis |
|---|---|---|
| 8.5 | 8.5.12 | 31. Dezember 2029 |
| 8.4 | 8.4.27 | 31. Dezember 2028 |
| 8.3 | 8.3.36 | 31. Dezember 2027 |
| 8.2 | 8.2.35 | 31. Dezember 2026 |
| 8.1 und älter | kein reguläres Update | bereits beendet |
Betroffen sind alle Stände vor den genannten Versionen. PHP 8.1 und ältere Versionen bekommen vom PHP-Projekt keine regulären Updates mehr. Für 7.4, 8.0 und 8.1 hat das Projekt minimale Korrekturen veröffentlicht, und manche Distributionen und LTS-Anbieter liefern zurückportierte Fixes. Das ist eine Übergangslösung. CERT.at empfiehlt ausdrücklich den Wechsel auf eine unterstützte Version. Auch PHP 8.2 läuft am 31. Dezember 2026 aus.
Wie akut ist das?
Das PHP-Projekt macht zur Ausnutzung keine Angaben. Laut derStandard laufen aber bereits massenhaft Angriffe, offenbar teils schon vor der offiziellen Veröffentlichung der Lücken. Bei einer Lücke dieser Art ist es deshalb sinnvoll, nicht auf das nächste reguläre Wartungsfenster zu warten.
Was Sie als Betreiber einer Website klären sollten
Wer betreibt Ihre Website?
Klären Sie, wer den Server oder das Hosting betreut und wer die Website selbst, etwa eine Agentur. Beide sind betroffen, aber für Unterschiedliches zuständig: der Hoster für die PHP-Version auf dem Server, die Agentur für die Website und deren Kompatibilität.
PHP-Version und Stand erfragen
Fragen Sie, welche PHP-Version Ihre Website nutzt und ob die behobene Version bereits eingespielt wurde.
Nach dem Update testen
Prüfen Sie, ob die Website weiterhin funktioniert: Startseite, Formulare, Anmeldung, Shop und Zahlung, Mailversand. Melden Sie Fehler der betreuenden Stelle.
Veraltete Versionen einplanen
Läuft Ihre Website auf PHP 8.1 oder älter, brauchen Sie einen Plan für den Wechsel. Ältere Websites, Plugins oder Themes laufen unter neueren PHP-Versionen manchmal nicht ohne Anpassung. Der Wechsel sollte deshalb vorbereitet und getestet werden.
Auf Auffälligkeiten achten
Ungewöhnliche Weiterleitungen, unbekannte Dateien, ungewöhnlicher Mailversand von der Website oder plötzliche Last können auf einen Angriff hindeuten. Melden Sie solche Beobachtungen sofort.
Websites, die bei uns gehostet werden
Wenn Ihre Website bei uns gehostet wird: Wir haben die bei uns bereitgestellten PHP-Versionen aktualisiert und informieren unsere Hosting-Kunden direkt. Läuft Ihre Website auf PHP 8.1 oder älter, sollte sie auf eine unterstützte Version wechseln. Was auf Ihrer Website selbst zu prüfen ist, klären Sie mit der Person oder Agentur, die sie betreut.
Updates zeitnah und kontrolliert einzuspielen gehört zu jeder guten IT-Betreuung, mehr dazu im Beitrag Patchen ist kein Projekt. Wenn Sie nicht wissen, wer Ihre Website technisch betreut oder welche PHP-Version läuft, vereinbaren Sie ein unverbindliches Gespräch.