Hinweis der Redaktion
Für heute, 21. Oktober, um 16 Uhr sind PHP-Sicherheitsupdates angekündigt. Wir verfolgen die Entwicklung und ergänzen diesen Artikel, sobald gesicherte Informationen zu den betroffenen Systemen und notwendigen Schutzmaßnahmen vorliegen.
Millionen Websites weltweit nutzen die Programmiersprache PHP. Jetzt warnen deren Entwickler vor zwei kritischen Sicherheitslücken und kündigen für heute Notfall-Updates an. Während Hosting-Unternehmen ihre Systeme vorbereiten, haben erste Einrichtungen bereits Dienste vom Netz genommen. Noch ist unklar, wie viele Websites tatsächlich verwundbar sind.
Zwei Sicherheitslücken mit höchster Dringlichkeit
Das Sicherheitsteam der Programmiersprache PHP hat für Mittwoch, den 21. Oktober 2026, um 16 Uhr deutscher Zeit die Veröffentlichung außerplanmäßiger Sicherheitsupdates angekündigt. Sie sollen zwei kritische Schwachstellen schließen, die jeweils mit 9,2 von zehn möglichen Punkten nach dem internationalen Bewertungssystem CVSS in Version 4.0 eingestuft wurden.
Die Ankündigung erfolgte gestern auf der offiziellen Website des PHP-Projekts. Entwickler und Administratoren wurden aufgefordert, sich auf eine möglichst schnelle Aktualisierung ihrer Systeme vorzubereiten.
Anders als bei gewöhnlichen Softwareupdates stehen diesmal potenziell weitreichende Sicherheitsprobleme im Mittelpunkt. Nach Informationen mehrerer Cybersicherheitsforscher könnten die Schwachstellen sogenannte Remote Code Execution ermöglichen. Angreifer könnten unter bestimmten Voraussetzungen über das Internet eigenen Programmcode auf einem betroffenen Server ausführen, möglicherweise ohne sich zuvor anmelden zu müssen.
Welche Voraussetzungen dafür erfüllt sein müssen und welche Softwareversionen tatsächlich betroffen sind, soll mit Veröffentlichung der Updates offiziell bekannt gegeben werden. Die hohe Risikobewertung beschreibt die technische Schwere der Schwachstellen. Sie bedeutet nicht, dass bereits entsprechende Angriffe auf zahlreiche Websites stattgefunden haben.
Warum PHP für Millionen Websites unverzichtbar ist
PHP gehört zu den weltweit am weitesten verbreiteten Programmiersprachen für Webanwendungen. Anders als beispielsweise JavaScript, das häufig direkt im Browser ausgeführt wird, arbeitet PHP typischerweise auf dem Webserver.
Die Software verarbeitet unter anderem Formulare, kommuniziert mit Datenbanken, steuert Benutzeranmeldungen und erzeugt dynamische Webseiten. Für Besucher bleiben diese Abläufe weitgehend unsichtbar.
Zu den bekanntesten Anwendungen, die PHP einsetzen, gehören die Content-Management-Systeme WordPress, Drupal und Joomla sowie E-Commerce-Lösungen wie Magento. Unternehmen verwenden die Technologie außerdem für individuell entwickelte Websites, Kundenportale und interne Anwendungen.
Wie groß ihre Bedeutung ist, zeigen Zahlen des Webtechnologie-Analysedienstes W3Techs. Nach dessen Erhebung vom 21. Oktober 2026 verwenden rund 69,3 Prozent der Websites, deren serverseitige Programmiersprache ermittelt werden konnte, PHP.
Diese Zahl bedeutet nicht, dass knapp 70 Prozent sämtlicher Websites gefährdet sind. Sie beschreibt zunächst nur die Verbreitung der Technologie innerhalb der untersuchten Websites mit bekannter serverseitiger Programmiersprache.
Ob eine konkrete Installation angreifbar ist, hängt von den betroffenen PHP-Versionen, ihrer Konfiguration und weiteren technischen Voraussetzungen ab.
Die enorme Verbreitung erklärt jedoch, warum selbst eine einzige schwerwiegende Sicherheitslücke erhebliche Auswirkungen haben könnte.
Europäische Sicherheitsbehörden schlagen Alarm
Die Warnung betrifft längst nicht mehr nur die Entwicklergemeinde.
Das europäische Computer Emergency Response Team CERT-EU hat eine Sicherheitsmitteilung veröffentlicht und Organisationen aufgefordert, ihre PHP-Installationen zu überprüfen und die angekündigten Aktualisierungen schnellstmöglich einzuspielen.
Wo dies nicht unmittelbar möglich ist, sollen Betreiber erwägen, gefährdete öffentlich erreichbare Anwendungen vorübergehend vom Internet zu trennen.
Auch das britische National Cyber Security Centre empfiehlt, betroffene Systeme zu identifizieren, deren Aktivitäten auf mögliche Angriffe zu überwachen und verfügbare Sicherheitsupdates unverzüglich zu installieren. Wenn eine schnelle Absicherung nicht möglich ist, kommt nach Einschätzung der Behörde auch eine vorübergehende Abschaltung infrage.
Dass solche Empfehlungen praktische Folgen haben, zeigt die Universität Freiburg.
Deren Rechenzentrum teilte am Mittwochvormittag mit, mehrere zentrale Systeme vorsorglich vom Netz genommen zu haben. Damit solle die Angriffsfläche bis zur Installation der erwarteten Sicherheitsupdates reduziert werden. Zugleich wurden dezentrale Administratoren aufgefordert, ihre PHP-basierten Dienste zu prüfen und gegebenenfalls deren Erreichbarkeit einzuschränken.
Die Maßnahme ist eine vorsorgliche Reaktion auf die Sicherheitswarnung und kein Beleg dafür, dass Systeme der Universität bereits erfolgreich angegriffen wurden.
Besonders alte Installationen könnten zum Problem werden
Zusätzliche Unsicherheit entsteht durch Berichte über die mögliche Reichweite der Schwachstellen.
Nach Informationen von Sicherheitsforschern könnten auch ältere PHP-Versionen bis zurück zur Versionsreihe 5 betroffen sein. Die Sicherheitsfirma Huntress berichtet, dass Details der Schwachstellen vor der geplanten Veröffentlichung bekannt geworden seien und Forscher bereits eine der Lücken nachvollziehen konnten.
Für veraltete PHP-Versionen werden vom offiziellen Entwicklerprojekt grundsätzlich keine regulären Sicherheitsupdates mehr bereitgestellt. Unternehmen könnten dann gezwungen sein, ihre Anwendungen auf neuere Versionen umzustellen, spezielle Sicherheitsaktualisierungen ihrer Dienstleister zu beziehen oder die Erreichbarkeit betroffener Systeme einzuschränken.
Eine solche Umstellung ist nicht immer kurzfristig möglich. Individuell entwickelte Anwendungen oder ältere Erweiterungen funktionieren unter neueren Softwareversionen möglicherweise nicht ohne Anpassungen.
Was Unternehmen und Website-Betreiber jetzt beachten müssen
Nicht jeder Website-Betreiber muss seine Server selbst aktualisieren. Bei betreuten Hosting-Angeboten übernimmt häufig der Dienstleister die Wartung der zugrunde liegenden Infrastruktur.
Bei selbst verwalteten Servern liegt die Verantwortung dagegen in der Regel beim jeweiligen Betreiber oder dessen IT-Abteilung.
Wichtig ist außerdem die Unterscheidung zwischen der verwendeten Webanwendung und der darunterliegenden Programmiersprache.
Ein Update von WordPress oder einer einzelnen Erweiterung ersetzt nicht automatisch die Aktualisierung der PHP-Laufzeitumgebung auf dem Server. Wenn die Sicherheitslücke in PHP selbst liegt, muss die tatsächlich verwendete PHP-Installation abgesichert werden.
Hosting-Unternehmen müssen dabei Geschwindigkeit und Betriebssicherheit miteinander vereinbaren. Sicherheitsupdates sollten schnell installiert, zugleich aber auf mögliche Unverträglichkeiten mit bestehenden Anwendungen überprüft werden.
Kurzfristige Wartungsfenster oder vorübergehende Unterbrechungen können deshalb notwendig werden.
Für Betreiber von Onlineshops, Buchungssystemen und Unternehmensportalen sind solche Ausfälle wirtschaftlich relevant. Schon kurze Unterbrechungen können Bestellvorgänge verhindern oder geschäftskritische Dienste beeinträchtigen.
Bei einer erfolgreichen Ausnutzung schwerwiegender Sicherheitslücken wären die möglichen Folgen erheblich gravierender. Abhängig von der konkreten Schwachstelle und den Berechtigungen eines betroffenen Systems könnten Angreifer Daten auslesen, Webseiten verändern oder weitere Systeme angreifen.
Bislang lässt sich aus den verfügbaren Informationen allerdings weder eine konkrete Schadenssumme ableiten noch die Zahl tatsächlich kompromittierter Websites bestimmen.
Welche PHP-Versionen tatsächlich betroffen sind und welche Schutzmaßnahmen erforderlich werden, soll sich mit der Veröffentlichung der Sicherheitsupdates klären. Wir verfolgen die Entwicklung weiter und aktualisieren diesen Beitrag, sobald gesicherte neue Informationen vorliegen.
