Am 21. Oktober 2026 hat das PHP-Team zwei kritische Sicherheitslücken geschlossen. PHP läuft auf gut zwei Dritteln aller Websites weltweit.* Weil Angriffscode schon vor dem Update öffentlich war, gingen vorsorglich viele Websites vom Netz, in Deutschland etwa die der Verbraucherzentralen und diverse Stadtportale, international beispielsweise die des niederländischen Nationalen Cyber-Sicherheitszentrums.
Über die beiden Lücken CVE-2026-109618 und CVE-2026-109619, inzwischen unter dem Namen PHP2Shell bekannt, konnten Angreifer ohne Anmeldung eigenen Programmcode auf fremden Webservern ausführen. Die Patches für diese Sicherheitslücken sollten mittlerweile bei den meisten Websites eingespielt sein. Ob das bei Ihrer Website der Fall ist, kann Ihnen Ihr Hoster oder Ihre Agentur sagen.
Für unsere Kunden wurden die korrigierten PHP-Versionen noch am Tag der Veröffentlichung eingespielt und die Websites wieder hochgefahren.
Schwieriger ist es bei älteren PHP-Versionen, die keine regulären Updates mehr bekommen. Laut W3Techs läuft gut ein Drittel der PHP-Websites noch auf Version 7 oder älter. Für 7.4, 8.0 und 8.1 hat das PHP-Team wegen der Schwere der Lücken ausnahmsweise Korrekturen veröffentlicht, die einige Anbieter in ihre Pakete übernommen haben, Plesk für Linux zum Beispiel. Für noch ältere Versionen gibt es keine. Solche Sonderkorrekturen sind die Ausnahme und ersetzen den Wechsel auf eine unterstützte Version nicht.
Warum Updates künftig noch wichtiger werden
Die Google Threat Intelligence Group schreibt in einem Bericht vom 30. September 2026, dass KI messbar verändert, wie schnell Sicherheitslücken entdeckt und ausgenutzt werden. Die Zahl der ausgenutzten Lücken stieg demnach von durchschnittlich 10,5 pro Monat im Jahr 2025 auf 18 pro Monat zwischen Januar und August 2026. Der Zuwachs kommt vor allem daher, dass bereits veröffentlichte Lücken sehr schnell angegriffen werden. Google erwartet, dass diese Zahlen kurz- bis mittelfristig weiter steigen.
Für Website-Betreiber heißt das: Updates gehören in einen festen Rhythmus, und kritische Sicherheitsupdates sollten nicht bis zum nächsten regulären Termin liegen bleiben. Solange eine bekannte Lücke offen ist, können Angreifer versuchen, sie auszunutzen.
Was Sie im Blick behalten sollten
Für PHP 8.2 gibt es ab dem 31. Dezember 2026 keine Sicherheitsupdates mehr. Planen Sie den Wechsel auf 8.3 oder neuer und testen Sie vorher, ob Content-Management-System, Design-Vorlage und Erweiterungen mit der neuen Version funktionieren.
Wer das nicht selbst im Blick behalten möchte, kann es einem Partner übertragen. Wir bieten unseren Kunden dafür Wartungsverträge an: Backup, Systemcheck und die Updates für Content-Management-System und Erweiterungen laufen im vereinbarten Rhythmus, kritische Sicherheitsupdates ziehen wir vor und spielen sie zeitnah ein.
Mehr dazu lesen Sie auf unserer Seite Service.
* 69,3 % der Websites, deren Programmiersprache auf dem Server bekannt ist. Quelle: W3Techs, Usage Statistics of PHP, Stand 23.10.2026. Weitere Quellen: PHP-Team, Sicherheitshinweis vom 21.10.2026 und Übersicht der unterstützten PHP-Versionen; Verbraucherzentrale Baden-Württemberg, Meldung vom 22.10.2026; ZfK, 22.10.2026; NCSC (Niederlande), Meldung vom 21.10.2026; Dark Reading, 21.10.2026; Plesk, Sicherheitshinweis zu CVE-2026-109618 und CVE-2026-109619; Google Threat Intelligence Group, Vulnerability Discovery and Exploitation Trends in the AI Era, 30.09.2026