Kritische PHP-Lücken: Jetzt den Hosting-Patchstand prüfen

Das PHP-Projekt hat am 21. Oktober 2026 zwei kritische Sicherheitslücken gemeldet und korrigierte Versionen veröffentlicht. Lassen Sie jetzt prüfen, ob Ihre Webanwendungen mit einem abgesicherten PHP-Stand betrieben werden.

Das Wichtigste für Ihre Entscheidung

PHP ist eine technische Grundlage vieler Websites, darunter WordPress. Nach Angaben des PHP-Projekts können die Lücken eine Ausführung fremden Codes ohne vorherige Anmeldung ermöglichen. Genannt werden verschiedene Betriebsarten für Webanfragen; das höchste nachgewiesene Risiko beschreibt der Hersteller für Apache mit mod_php.

Die Korrekturen sind in PHP 8.2.35, 8.3.36, 8.4.27 und 8.5.12 enthalten. Anbieter können Sicherheitskorrekturen auch in eigene Pakete zurückübernehmen. Eine ältere angezeigte Versionsnummer allein beweist deshalb noch nicht, dass eine Installation ungepatcht ist.

Was Sie jetzt beauftragen sollten

Bitten Sie Ihre IT-Betreuung oder Ihren Hoster um eine konkrete Aussage zum Patchstand. Ein Update von WordPress oder seinen Erweiterungen ersetzt die Korrektur der darunterliegenden PHP-Laufzeit nicht. Welche Systeme Ihres Unternehmens tatsächlich betroffen sind, muss anhand der jeweiligen Installation geprüft werden.

Checkliste zur internen Weitergabe

• Websites, Portale und weitere PHP-Anwendungen mit ihren Verantwortlichen erfassen.
• PHP-Version und Sicherheitsstand beim Hoster oder Betreiber bestätigen lassen.
• Eine korrigierte, weiterhin unterstützte Hersteller- oder Anbieterversion einplanen.
• Vor Änderungen Sicherung und Wiederherstellung klären; danach zentrale Funktionen wie Anmeldung und Formularversand testen.
• Ergebnis, Zuständigkeit und Abschluss der Prüfung dokumentieren.

Für die Geschäftsführung zählt vor allem eine belegbare Rückmeldung: geprüft, erforderliche Maßnahmen festgelegt und gegebenenfalls umgesetzt. Ob Ihre konkrete Hosting-Umgebung betroffen ist, lässt sich aus der allgemeinen Warnung nicht ableiten.

Quellen und Stand

Geprüft am 23. Oktober 2026: Sicherheitsmeldung des PHP-Projekts vom 21. Oktober 2026 sowie die technischen Hinweise zu CVE-2026-109618 und CVE-2026-109619. Die Checkliste ist unsere praktische Einordnung.