IT-Sicherheit
PHP-Sicherheitsupdate Oktober 2026: was hinter der Notfall-Wartung steckt
Am 21. Oktober hat PHP zwei kritische Lücken außerplanmäßig geschlossen. Die Updates sind inzwischen überall verfügbar und bei Krmr.IT vollständig eingespielt. Was du jetzt prüfen solltest.
Am Vormittag des 21. Oktober kam bei mir die erste Wartungsankündigung rein: Ein Dienstleister kündigte für den Nachmittag dringende Sicherheitsupdates an seiner Server-Infrastruktur an, mit Einschränkungen zwischen 15 und 17 Uhr. Im Laufe des Tages kamen einige ähnliche Mails dazu. Der Grund war bei allen derselbe: ein außerplanmäßiges Notfall-Update für PHP.
Das Wichtigste in Kürze
- PHP hat am 21. Oktober 2026 um 16 Uhr deutscher Zeit zwei kritische Lücken geschlossen (CVSS 9.2 von 10).
- Angreifer können darüber ohne Anmeldung eigenen Code auf dem Server ausführen.
- Die Fixes stecken in PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35. Inzwischen sind sie auch bei den großen Linux-Distributionen und Hostern angekommen.
- Bei Krmr.IT sind die Updates vollständig eingespielt.
Was ist passiert?
PHP ist die Programmiersprache hinter einem großen Teil des Internets: WordPress, Onlineshops, Kundenportale und viele Webanwendungen. Das PHP-Team hatte das Update einen Tag vorher angekündigt, ohne Details zu nennen. Das macht man nur, wenn es wirklich ernst ist.
Geschlossen wurden zwei Lücken, CVE-2026-109618 und CVE-2026-109619. In der Sicherheitsszene laufen sie unter dem Namen „PHP2Shell“. Vereinfacht gesagt: Eine präparierte Anfrage bringt PHP in einen halb fertigen Zustand, und eine spätere Anfrage nutzt genau diesen Zustand aus. Am Ende läuft im schlimmsten Fall fremder Code auf dem Server, und zwar ohne Login.
Besonders gefährdet sind Server mit Apache und „mod_php“. Aber auch PHP-FPM, also das übliche Setup bei Plesk und den meisten Hostern, muss aktualisiert werden. Cloudflare und Amazon haben Angriffsversuche gemeldet, teilweise schon bevor der Patch draußen war.
Dazu kommt: Forscher haben gezeigt, dass sich über die Lücken auch Speicherinhalte auslesen lassen. Und da stehen gerne Passwörter, Tokens oder API-Schlüssel drin.
Warum am Nachmittag einiges kurz weg war
Weil es eilig war, haben viele Anbieter das Update direkt nach Veröffentlichung eingespielt, also mitten am Nachmittag statt nachts im Wartungsfenster. PHP-Dienste werden dabei neu gestartet, Portale und Webseiten sind dann ein paar Minuten nicht erreichbar.
—> Das war kein Ausfall, sondern genau das richtige Vorgehen. Ein paar Minuten offline sind deutlich angenehmer als ein Server, auf dem jemand Fremdes mitarbeitet.
Stand jetzt: die Updates sind überall da
Direkt nach der Veröffentlichung gab es die Fixes erst einmal nur im Quellcode von PHP. Inzwischen haben die großen Linux-Distributionen wie Ubuntu und Red Hat sowie die gängigen Hosting-Panels nachgezogen. Bei vielen Distributionen bleibt die Versionsnummer übrigens gleich, weil der Fix zurückportiert wird. Maßgeblich ist dann der Hinweis im Sicherheitsbulletin des Anbieters.
Bei Krmr.IT sind die Updates vollständig eingespielt, auf allen Servern, die ich betreibe. Wenn ich deine Webseite oder dein Portal betreue, musst du nichts tun.
Was du jetzt prüfen solltest
- Wer betreibt deine Webseite? Bei einem Hoster mit verwaltetem PHP kümmert sich der Anbieter. Ein kurzer Blick in die Mails vom 21. Oktober lohnt trotzdem.
- Eigener Server oder VPS? Dann liegt das Update bei dir: PHP aktualisieren, PHP-FPM beziehungsweise den Webserver neu starten und die Version prüfen.
- Welche PHP-Version läuft? In WordPress findest du das unter Werkzeuge → Website-Zustand → Bericht → Server. Es sollte 8.2 oder neuer sein.
- PHP 8.1 oder älter? Dafür gibt es vom PHP-Projekt keinen regulären Fix mehr. Einzelne Anbieter liefern Rückportierungen, das ist aber nur eine Notlösung. Hier gehört ein Upgrade auf den Plan.
- Zugangsdaten: Wenn ein Server länger ungepatcht offen im Netz stand, würde ich Passwörter und API-Schlüssel aus der Konfiguration tauschen. Lieber einmal zu viel.
—> Und gleich im Kalender notieren: PHP 8.2 bekommt ab dem 31. Dezember 2026 keine Sicherheitsupdates mehr. Wer noch darauf läuft, sollte das Upgrade jetzt angehen und nicht erst beim nächsten Notfall. 😉
Häufige Fragen
Ist meine WordPress-Seite betroffen?
WordPress läuft auf PHP, also grundsätzlich ja. Entscheidend ist, ob der Server darunter schon gepatcht ist. Bei verwaltetem Hosting erledigt das der Hoster.
Reicht ein WordPress-Update?
Nein. Die Lücken stecken in PHP selbst, nicht in WordPress oder einem Plugin. Aktualisiert werden muss die PHP-Version auf dem Server.
Gibt es einen Workaround, wenn ich nicht sofort updaten kann?
PHP nennt ein paar Einstellungen, die das Risiko senken, zum Beispiel das Abschalten von „session.upload_progress“. Das sind aber Notlösungen. Das PHP-Team sagt klar: Nur das Update schließt die Lücken vollständig.
Lass uns einmal drüberschauen
Wenn du nicht sicher bist, wo deine Webseite läuft oder welche PHP-Version dort aktiv ist, schick mir einfach die Adresse. Ich schaue nach und sage dir, ob Handlungsbedarf besteht.
Melde dich direkt über Kontakt.
