Kritische PHP-Sicherheitslücken im Oktober 2026: Was Sie jetzt tun sollten

Was passiert ist

Am 21. Oktober 2026 haben die PHP-Entwickler Korrekturen für zwei kritische Sicherheitslücken veröffentlicht (auch PHP2Shell genannt). PHP ist die Software hinter einem Großteil aller Websites; Systeme wie WordPress, Joomla, TYPO3 und Shopware laufen darauf. Die Lücken können es einem Angreifer erlauben, Schadcode auf dem Server auszuführen, ohne sich anzumelden. Sicherheitsforscher beobachten bereits erste Angriffsversuche.

Die PHP-Entwickler raten, sofort zu aktualisieren. Klären Sie die Sache deshalb heute, in Ruhe und mit den folgenden Schritten.

Betrifft das Ihre Website?

Wenn Ihre Seite zum Beispiel mit WordPress, Joomla, TYPO3, Shopware oder Gambio läuft, nutzt sie PHP. Bei Baukästen und Mietshops wie Wix, Jimdo oder Gambio Cloud kümmert sich der Anbieter um solche Korrekturen.

So klären Sie es

1. Fragen Sie, wer Ihre Seite betreut. Das ist Ihre Agentur, Ihre IT oder Ihr Hoster. Betreut die Seite niemand mehr, fragen Sie den Hoster, dem Sie die Rechnung zahlen. Fragen Sie: Ist die Korrektur eingespielt, und wurde PHP danach neu gestartet? Läuft die Seite auf einem eigenen Server (VPS oder Root-Server), spielt der Hoster nichts ein; das muss dann tun, wer den Server eingerichtet hat.

2. Im Hoster-Menü müssen Sie in der Regel nichts umstellen. Dort wählen Sie meist nur die Reihe, etwa 8.3 oder 8.4. Den genauen Korrekturstand spielt der Hoster selbst ein. Ein Wechsel auf eine andere Reihe kann die Seite stören und sollte vorher getestet werden.

3. PHP 8.1 und älter: heute nachfragen. Für diese Reihen liefert das PHP-Projekt keine regulären Updates mehr. Für 7.4 bis 8.1 hat es Notkorrekturen bereitgestellt, die Ihr Anbieter einspielen kann; für ältere Reihen gibt es sie meist nur über bezahlte Langzeitpakete. Fragen Sie Ihren Anbieter, ob er eine Notkorrektur einspielt und was das kostet. Bietet er keine an, lassen Sie den Wechsel auf eine neuere Reihe vorbereiten und testen. Bis dahin fragen Sie, ob die Seite vorübergehend vom Netz gehen sollte; das empfiehlt die britische Cybersicherheitsbehörde NCSC für Systeme, die sich nicht zeitnah absichern lassen. Auch PHP 8.2 erhält nur noch bis zum 31. Dezember 2026 Sicherheitsupdates; wer darauf läuft, sollte den Wechsel jetzt planen.

Wer es sicher sagen kann

Ob die Korrektur angekommen ist, kann nur Ihr Hoster oder Ihre Agentur sicher sagen. Von außen sieht man das einer Website nicht an. Als Anhaltspunkt: Korrigiert sind die PHP-Versionen 8.2.35, 8.3.36, 8.4.27 und 8.5.12, jeweils mit allen späteren Versionen derselben Reihe. Manche Anbieter rüsten die Korrektur aber nach, ohne die Nummer zu ändern; dann zählt allein ihre Auskunft. Details zur Lücke kursierten schon am 20. Oktober, einen Tag vor der Korrektur. Fragen Sie deshalb auch, ob die Seite seitdem auffällig war.

Für die Zeit danach

Sicherheitsupdates für PHP und für Systeme wie WordPress samt Erweiterungen erscheinen mehrmals im Jahr. Eine Lücke dieser Schwere in PHP selbst ist selten. Wichtig ist, dass jemand solche Korrekturen regelmäßig und zeitnah einspielt.

Unser Stand

Auf unseren eigenen Servern läuft kein PHP, die Seiten dort waren nicht betroffen. Für Seiten bei anderen Hostern gelten die Schritte oben, auch wenn wir daran arbeiten.

Wenn Sie die Antwort Ihres Hosters nicht einordnen können, schreiben Sie uns über WhatsApp. Wir sagen Ihnen kurz, was sie bedeutet. Eine Prüfung Ihrer Seite selbst ist ein eigener Auftrag.