Ist meine Website von der PHP-Sicherheitslücke im Oktober 2026 betroffen?

Das Wichtigste in Kürze

• Das PHP-Projekt hat am 21. Oktober 2026 Sicherheitsupdates für zwei kritische Lücken veröffentlicht (CVE-2026-109618 und CVE-2026-109619, jeweils CVSS 9.2).
• Gefährdet sind laut PHP-Projekt alle PHP-Installationen, die Webseiten ausliefern, darunter PHP-FPM, Apache mit mod_php und LiteSpeed.
• PHP 8.1 und älter erhalten vom PHP-Projekt keine regulären Updates mehr. PHP 8.2 endet am 31. Dezember 2026.
• Ein WordPress- oder Plugin-Update ändert nichts an der PHP-Version.

Was ist bei PHP im Oktober 2026 passiert?

Das PHP-Projekt hat zwei Schwachstellen geschlossen, über die Angreifer ohne Anmeldung eigenen Code auf Webservern ausführen können. PHP ist die Programmiersprache, mit der der Server Ihre Seiten erzeugt, bevor sie im Browser ankommen. Die Updates erschienen laut offizieller PHP-Sicherheitsmeldung am 21. Oktober 2026 um 14:00 Uhr UTC.

Die erste Lücke entsteht, wenn PHP bei Speichermangel eine Anfrage nur halb aufgebaut abbricht. Die zweite lässt Daten einer früheren Anfrage im Speicher zurück, die eine spätere Anfrage missbrauchen kann. Das PHP-Projekt schreibt dazu, es gebe keine vollständige Abhilfe außer dem Update.

Für Apache mit mod_php ist das Risiko besonders hoch. Hier wurde ein Angriff demonstriert, der greift, bevor Ihr eigener Website-Code überhaupt startet. Auch Sicherheits-Plugins in WordPress können deshalb nicht schützen.

Woran erkenne ich, ob meine Website betroffen ist?

Ihre Website ist betroffen, wenn sie mit PHP läuft und die PHP-Version älter ist als die oben genannten Patch-Versionen. Ob Sie PHP nutzen, verrät meist schon das System: WordPress, TYPO3, Joomla, Contao, Shopware und WooCommerce basieren alle auf PHP.

So prüfen Sie es Schritt für Schritt:

1. WordPress: Melden Sie sich im Backend an und öffnen Sie Werkzeuge → Website-Zustand → Bericht. Klappen Sie den Bereich „Server“ auf. Dort steht die PHP-Version.
2. Andere Systeme: Viele Hoster zeigen die PHP-Version im Kundenmenü an, etwa unter „PHP-Einstellungen“ oder „Webhosting“. Alternativ fragen Sie den Hoster-Support direkt.
3. Version vergleichen: Sicher sind PHP 8.5.12, 8.4.27, 8.3.36, 8.2.35 und jeweils neuere Versionen dieser Reihen.
4. Ältere Reihe erkannt? Bei PHP 8.1, 8.0 oder 7.x fragen Sie Ihren Hoster, ob er einen eigenen Sicherheitspatch eingespielt hat. Das PHP-Projekt selbst liefert hier nur minimale Quellcode-Korrekturen.
5. Bestätigung einholen: Lassen Sie sich vom Hoster schriftlich bestätigen, dass beide Lücken geschlossen sind.

Was muss ich jetzt konkret tun?

Bitten Sie Ihren Hoster noch heute um das PHP-Update und lassen Sie sich die Version bestätigen. Bei Managed-Hosting passiert das oft automatisch. Bei eigenen Servern oder günstigen Paketen mit fest eingestellter Version müssen Sie meist selbst aktiv werden.

Nach dem Update sollten Sie prüfen, ob schon vorher jemand eingedrungen ist. Ein Patch entfernt keine bereits installierte Schadsoftware. Achten Sie in WordPress auf unbekannte Administratorkonten, unbekannte Plugins und kürzlich geänderte PHP-Dateien.

Nutzen Sie UpdraftPlus mit der Cloud-Verwaltung UpdraftCentral, gilt zusätzlich: Der Anbieter TeamUpdraft hat am 18. Oktober 2026 einen Einbruch gemeldet, bei dem Angreifer über Verbindungsschlüssel Admin-Konten auf Kundenseiten angelegt haben. Aktualisieren Sie auf UpdraftPlus 1.26.13 (kostenlos) oder 2.26.13 (Premium) und folgen Sie der Anleitung von TeamUpdraft.

Darf ich meine Website zum Patchen vom Netz nehmen, ohne Rankings zu verlieren?

Ja, wenn Ihr Server währenddessen den HTTP-Statuscode 503 („Service Unavailable“) ausliefert. Ein 503 signalisiert Google eine vorübergehende Störung. Bereits indexierte Seiten bleiben dann in der Suche. Google Search Central hat genau darauf am 21. Oktober 2026 hingewiesen.

Laut Google-Dokumentation sollte ein 503 nicht länger als ein bis zwei Tage bestehen. Ein zusätzlicher Retry-After-Header teilt Crawlern mit, wann sie wiederkommen sollen. Die Datei robots.txt darf dagegen nie mit 503 antworten, denn das blockiert das gesamte Crawling.

Wichtig ist, wo der 503 entsteht. Ist PHP abgeschaltet, kann PHP keine Wartungsseite erzeugen. Der Statuscode muss dann vom Webserver, vom Hoster oder von einem CDN kommen.

Welche Fehler sehen wir in Website-Analysen am häufigsten?

Der häufigste Fehler ist eine veraltete PHP-Version, die niemand bemerkt, weil die Website äußerlich normal funktioniert. In Website-Analysen fällt das regelmäßig bei Seiten auf, die vor Jahren von einer Agentur aufgesetzt und danach nur noch inhaltlich gepflegt wurden.

Ebenso typisch sind diese Muster:

• Wartungsseiten, die mit Statuscode 200 antworten. Google indexiert dann den Wartungshinweis als Inhalt.
• Fehlerseiten mit Statuscode 404 während einer Abschaltung. Google kann die URLs dann als entfernt werten.
• Verwaiste Administratorkonten ehemaliger Dienstleister, die nie gelöscht wurden.
• Plugins, die deaktiviert, aber nicht gelöscht sind und weiterhin angreifbaren Code enthalten.

Wie Ladezeit, Serverkonfiguration und Sicherheitsheader zusammenspielen, erklärt unsere Seite zur Website-Performance.

Fazit

Die PHP-Lücke vom Oktober 2026 betrifft nicht Ihre Inhalte, sondern das Fundament darunter. Genau dieses Fundament prüft kaum jemand regelmäßig. Wer die PHP-Version, die Statuscodes und die Admin-Konten im Blick hat, ist den meisten Angriffen einen Schritt voraus.

Sie möchten wissen, wo Ihre Website technisch und darüber hinaus steht? Der AI Website Report analysiert Ihre Website mit neun spezialisierten KI-Agenten, inklusive Technik, Sicherheit und Core Web Vitals. Einmalig 79 Euro, ohne Abo.