Remote Code Execution: Kritische Schwachstellen könnten es Angreifern ermöglichen, ohne vorherige Anmeldung eigenen Code auf einem Server auszuführen.
Kritische PHP-Sicherheitslücken: Jetzt dringend aktualisieren!
Dringende Sicherheitswarnung für Websitebetreiber: Das PHP-Projekt hat am 21. Oktober 2026 neue Versionen veröffentlicht, um zwei kritische Sicherheitslücken zu schließen. Die Schwachstellen CVE-2026-109618 und CVE-2026-109619 könnten es Angreifern ermöglichen, ohne vorherige Anmeldung eigenen Code auf einem Server auszuführen.
Betroffen sind zahlreiche PHP-Installationen, darunter auch die technische Grundlage jeder WordPress-Website. Websitebetreiber sollten deshalb zeitnah prüfen, welche PHP-Version auf ihrem Server eingesetzt wird, und sicherstellen, dass die erforderlichen Sicherheitsupdates installiert sind.
Das PHP-Sicherheitsteam hatte beide Schwachstellen in einer Vorabinformation vom 20. Oktober 2026 auf der CVSS-v4.0-Skala mit jeweils 9,2 von 10 Punkten bewertet. Damit fallen sie in den kritischen Schweregradbereich.
Offizielle Informationen:
Warum sind diese PHP-Sicherheitslücken so gefährlich?
Die beiden Schwachstellen können unter bestimmten Voraussetzungen eine sogenannte Remote Code Execution (RCE) ermöglichen. Dabei kann ein Angreifer eigenen Programmcode aus der Ferne auf einem betroffenen Server ausführen.
Besonders kritisch ist, dass hierfür keine vorherige Anmeldung erforderlich sein muss. Ein Angreifer könnte also unter den entsprechenden Voraussetzungen einen Angriff durchführen, ohne zuvor Zugangsdaten für die Website zu benötigen.
Welche Auswirkungen ein erfolgreicher Angriff tatsächlich hätte, hängt unter anderem von der Serverkonfiguration, den verfügbaren Berechtigungen und den betroffenen Systemkomponenten ab.
Sind WordPress-Websites betroffen?
Ja. Grundsätzlich sollten alle Betreiber von WordPress-Websites ihre PHP-Version überprüfen.
WordPress basiert auf PHP. Die aktuellen Schwachstellen betreffen jedoch nicht WordPress selbst, sondern die PHP-Laufzeitumgebung, auf der das Content-Management-System ausgeführt wird. Das bedeutet:
- Es handelt sich nicht um eine Sicherheitslücke im WordPress-Core.
- Ein bestimmtes Plugin oder Theme ist nicht die eigentliche Ursache.
- WordPress-eigene automatische Updates beheben diese Schwachstellen nicht.
- Die Aktualisierung muss auf der Server- beziehungsweise Hosting-Ebene erfolgen.
- Auch eine ansonsten aktuelle WordPress-Installation kann deshalb gefährdet sein, wenn auf dem Server eine verwundbare PHP-Version ohne entsprechenden Sicherheitspatch eingesetzt wird.
Welche Server sind betroffen?
Laut der PHP-Sicherheitsmitteilung sind grundsätzlich alle PHP-Installationen gefährdet, die Webanfragen verarbeiten. Dazu gehören unter anderem:
- PHP-FPM
- Apache mit mod_php
- php-cgi
- FrankenPHP
- LiteSpeed
Das PHP-Projekt stuft das Risiko bei Apache mit mod_php als besonders hoch ein. Für diese Konfiguration wurde ein konkreter Angriffsweg demonstriert, bei dem eine nicht authentifizierte Anfrage den Angriff auslösen kann, bevor der Anwendungscode überhaupt ausgeführt wird. Ob eine konkrete Website verwundbar ist, hängt von der eingesetzten PHP-Version, den installierten Sicherheitskorrekturen und der jeweiligen Serverkonfiguration ab.
Welche PHP-Versionen schließen die Sicherheitslücken?
Die folgenden Versionen enthalten laut der vorliegenden Sicherheitsmeldung die erforderlichen Korrekturen:
| PHP 8.5.x | 8.5.12 |
| PHP 8.4.x | 8.4.27 |
| PHP 8.3.x | 8.3.36 |
| PHP 8.2x | 8.2.35 |
Was gilt für PHP 8.2 und ältere Versionen?
PHP 8.2 erreicht laut PHP-Projekt am 31. Dezember 2026 das Ende seiner regulären Unterstützung. Danach werden vom PHP-Projekt keine weiteren Sicherheitskorrekturen für diese Version veröffentlicht. Ein Wechsel auf eine weiterhin unterstützte PHP-Version sollte deshalb rechtzeitig eingeplant werden.
PHP 8.1 und ältere Versionen erhalten vom PHP-Projekt keine regulären Updates mehr. Dadurch ist die Situation für Betreiber älterer Systeme besonders wichtig. Einige Linux-Distributionen und Anbieter mit langfristigem Support (Long-Term Support, LTS) stellen Sicherheitskorrekturen auch für ältere PHP-Versionen bereit. Dabei werden die erforderlichen Änderungen in die vom Anbieter gepflegten Pakete zurückportiert. Wer eine solche Umgebung nutzt, sollte beim Hosting-Anbieter beziehungsweise beim zuständigen Softwareanbieter nachfragen, ob die Sicherheitskorrekturen bereits integriert wurden.
Für PHP 7.4, 8.0 und 8.1 hat das PHP-Sicherheitsteam außerdem minimale Quellcode-Patches veröffentlicht. Diese sind insbesondere für Personen relevant, die PHP selbst aus dem Quellcode kompilieren oder keinen entsprechenden LTS-Anbieter nutzen.
Was sollten Websitebetreiber jetzt tun?
In WordPress lässt sich die verwendete PHP-Version direkt im Administrationsbereich einsehen:
- Im WordPress-Dashboard den Menüpunkt Werkzeuge → Website-Zustand öffnen.
- Zum Reiter Bericht beziehungsweise „Info“ wechseln.
- Den Abschnitt Server aufklappen.
- Die dort angezeigte PHP-Version überprüfen.
- Die Bezeichnungen können je nach WordPress-Version und Spracheinstellung leicht abweichen.
Achtung: Bei Linux-Distributionen und LTS-Anbietern kann die angezeigte Versionsnummer trotz eines installierten Sicherheitspatches unverändert bleiben. In diesem Fall sollte die Aktualisierung anhand der Sicherheitsinformationen des Anbieters oder direkt beim Hosting-Unternehmen bestätigt werden.
Wenn der Hosting-Anbieter die PHP-Umgebung verwaltet, sollte geprüft werden, ob die Sicherheitskorrekturen bereits eingespielt wurden. Kontaktiere dazu den Support oder prüfe die Status- beziehungsweise Sicherheitsmeldungen des Anbieters. Frage konkret nach den beiden Schwachstellen CVE-2026-109618 und CVE-2026-109619 und nach dem Patch-Status der eingesetzten PHP-Umgebung.
Wer den Server selbst verwaltet, sollte zunächst eine geeignete Sicherung erstellen und anschließend die aktualisierten PHP-Pakete des zuständigen Linux-Distributors oder LTS-Anbieters installieren. Laut PHP-Projekt wurden diese Anbieter vorab über die notwendigen Korrekturen informiert. Quellcode-Pakete sowie Windows-Downloads stellt das PHP-Projekt auf seiner offiziellen Download-Seite bereit:
Die Aktualisierung sollte anschließend überprüft werden. Dabei sind auch die tatsächlich von Webserver und PHP-Prozessen verwendeten Versionen zu berücksichtigen.
Wer PHP-Pakete aus dem Community-Repository Remi verwendet, sollte den aktuellen Stand unter rpms.remirepo.net prüfen.
Laut der vorliegenden Meldung waren die aktualisierten Pakete am 21. Oktober zunächst noch nicht verfügbar. Das PHP-Projekt hat später mitgeteilt, dass der Maintainer inzwischen aktualisierte Pakete signiert.
Die PHP-Sicherheitsmitteilung empfiehlt Nutzern dieses Repositorys außerdem, auf Pakete der jeweiligen Linux-Distribution umzusteigen oder PHP aus dem Quellcode zu bauen, damit Sicherheitsupdates möglichst unmittelbar eingespielt werden können.
Das PHP-Projekt stellt klar, dass nur die Aktualisierung eine vollständige Lösung bietet.
Für Systeme, die nicht sofort aktualisiert werden können, beschreibt die offizielle Sicherheitsmitteilung Maßnahmen zur Verringerung bestimmter Angriffsrisiken. Diese können die Angriffsfläche reduzieren, ersetzen aber keinen Sicherheitspatch und garantieren keinen Schutz. Wenn ein sofortiges Update nicht möglich ist, sollten Betreiber gemeinsam mit ihrem Hosting-Anbieter die offiziellen Hinweise prüfen und geeignete Übergangsmaßnahmen umsetzen. Die konkreten Anweisungen finden sich in der offiziellen PHP-Sicherheitsmitteilung.
Die aktuellen Schwachstellen zeigen, dass die Sicherheit einer Website nicht allein von WordPress-Updates, Plugins und Themes abhängt. Auch die darunterliegende PHP-Umgebung muss regelmäßig überprüft und auf einem sicheren Stand gehalten werden.
Websitebetreiber sollten deshalb zeitnah klären, ob ihre Hosting-Umgebung bereits abgesichert ist. Wer veraltete PHP-Versionen einsetzt oder nicht weiß, ob sein Anbieter die Sicherheitskorrekturen installiert hat, sollte nicht unnötig warten.
Wie reagieren Provider unserer Kundenseiten?
Ähnlich wie beim WordPress-Angriff im Juli haben wir natürlich auch ein Auge auf unsere Kundenseiten, welche bei externen Hostern liegen. Wir haben uns angeschaut, wie bisher reagiert wurde und inwiefern die Website oder Verwaltungsoberfläche erreichbar sind. Die folgende Auflistung ist ohne Wertung:
- Alphahosting: Keine Information zur PHP-Sicherheitslücke. Website und Verwaltungsoberfläche problemlos erreichbar. Manuelle Einstellung der PHP-Versionen von 8.5 bis 8.1 möglich (keine Anzeige der letzten Versionsnummer).
- Bytecamp: Keine Information zur PHP-Sicherheitslücke. Website und Verwaltungsoberfläche problemlos erreichbar. Manuelle Einstellung der PHP-Versionen von 8.5 bis runter zu 4.4 möglich. Im Detail betrachtet sind generell nur veraltete Versionen verfügbar: 8.5.0 / 8.4.14 / 8.3.27 / 8.2.29.
- IONOS: Information zur PHP-Sicherheitslücke und Statusseite zum Fortschritt. Website und Verwaltungsoberfläche problemlos erreichbar. Manuelle Einstellung der PHP-Versionen von 8.5 bis 8.3 möglich (keine Anzeige der letzten Versionsnummer).
- NetCup: Information zur PHP-Sicherheitslücke und zur Zwangstrennung von Websites, Statusseite zum Fortschritt. Website und Verwaltungsoberfläche wurden vom Internet getrennt und waren Websites stundenweise offline, kommen nach und nach wieder online.
- Strato: Information zur PHP-Sicherheitslücke. Website und Verwaltungsoberfläche problemlos erreichbar. Manuelle Einstellung der PHP-Versionen von 8.5 bis 8.2 möglich (keine Anzeige der letzten Versionsnummer).
Die manuelle Einstellung der PHP-Versionsnummer ist tatsächlich ein Vorteil bei den Hostinganbietern, es fehlt aber die Transparenz bei den letzten Versionsnummern. So kann man nicht wissen, ob man noch die gefährdete Version benutzt oder nicht.
Wie Nicore Design Ihre WordPress-Website schützt
Bei Nicore Design betrachten wir die Sicherheit von WordPress-Websites nicht ausschließlich anhand des WordPress-Core oder installierter Plugins. Auch die Serverumgebung und relevante Sicherheitsmeldungen gehören zur technischen Überprüfung.
Kunden von Nicore Design erhalten notwendige Sicherheitsupdates und zusätzliche Website-Überprüfungen im Rahmen unserer Betreuung kostenfrei, auch dann, wenn kein gesonderter Wartungsvertrag abgeschlossen wurde.
So können wir bei relevanten Sicherheitsmeldungen zeitnah reagieren und dazu beitragen, vermeidbare Risiken für die betreuten Websites zu reduzieren.
Zum aktuellen Zeitpunkt (21.10.2026 / 22:34 Uhr) wurden alle Kundenseiten auf unseren Servern auf die neuen PHP-Versionen umgestellt!