PHP-Warnung: Müssen Betreiber ihre Websites abschalten?
Kritische PHP-Lücken: Wann Websites offline gehen sollten
Das PHP-Sicherheitsteam hat zwei kritische Schwachstellen bestätigt und ein außerplanmäßiges Sicherheitsupdate angekündigt. Betreiber sollen ihre Systeme vorbereiten, damit sie die Korrekturen unmittelbar nach Veröffentlichung installieren können. Vorgesehen ist die Freigabe am 21. Oktober um 16 Uhr deutscher Zeit. Beide Lücken erhalten nach dem Bewertungssystem CVSS 4.0 einen Schweregrad von 9,2 von zehn Punkten. php.net
PHP gehört zur technischen Grundlage vieler Websites. Auch WordPress benötigt die Software auf dem Server. Deshalb müssen sich Betreiber von Nachrichtenseiten, Unternehmensauftritten und Blogs mit der Warnung befassen, selbst wenn sie ihre Inhalte ausschließlich über die WordPress-Oberfläche pflegen. WordPress.org
Welche Gefahr CERT-EU beschreibt
Das europäische Computer-Notfallteam CERT-EU führt die Schwachstellen unter den Kennungen CVE-2026-109618 und CVE-2026-109619. Die Behörde warnt vor einer möglichen Ausführung fremden Programmcodes ohne vorherige Anmeldung. Ein Angreifer könnte dadurch Befehle auf einem verwundbaren Server ausführen.
Der genaue technische Umfang ist noch offen. CERT-EU nennt eine mögliche Betroffenheit von PHP-Versionen ab PHP 5. Eine abschließende Liste der verwundbaren und korrigierten Versionen will das PHP-Team jedoch erst zusammen mit dem Sicherheitsupdate veröffentlichen. Die Aussage, jede PHP-Installation sei gleichermaßen angreifbar, geht dem bestätigten Stand voraus.
Wann eine vorübergehende Sperrung sinnvoll ist
CERT-EU empfiehlt, PHP-Anwendungen zu identifizieren und verfügbare Korrekturen sofort einzuspielen. Ist eine unmittelbare Absicherung nicht möglich, sollen Organisationen erwägen, öffentlich erreichbare Anwendungen vorübergehend vom Internet zu trennen. Das ist eine situationsabhängige Schutzempfehlung, keine allgemeine Anordnung zur Abschaltung aller Websites. Critical Vulnerabilities in PHP
Für Betreiber ergibt sich daraus eine konkrete Frage an ihren Hostinganbieter oder die zuständige Administration: Ist die verwendete PHP-Installation betroffen, und wie wird sie bis zur Aktualisierung geschützt?
Eine solche Sperrung sollte technisch vor der Verarbeitung durch PHP greifen. Eine bloße Wartungsanzeige innerhalb von WordPress lässt dagegen nicht erkennen, ob direkte Zugriffe auf PHP-Dateien weiterhin möglich sind. Inhalte müssen für eine vorübergehende Zugriffssperre nicht gelöscht werden.
WordPress aktualisieren reicht als Nachweis nicht aus
WordPress und die PHP-Installation auf dem Server sind getrennte Softwarekomponenten. Ein erfolgreiches WordPress-Update bestätigt daher noch keine Aktualisierung von PHP. Betreiber sollten sich den Schutz ihrer konkreten Serverumgebung vom Verantwortlichen bestätigen lassen.
Auch eine Versionsangabe wie „PHP 8.4“ ist zu ungenau: Sie bezeichnet eine Versionsreihe und lässt die installierte Korrekturstufe offen. Maßgeblich sind der vollständige Versionsstand sowie gegebenenfalls Sicherheitskorrekturen des Hostinganbieters.
Mit der angekündigten Veröffentlichung müssen vor allem zwei Angaben nachgetragen werden: welche Installationen tatsächlich verwundbar sind und welche korrigierten Versionen Betreiber einsetzen sollen.
Quellen und Transparenz
- PHP-Sicherheitsteam: „Upcoming Critical PHP Security Release“, 20. Oktober 2026. Originalankündigung zu Bewertung und Veröffentlichungstermin.
- CERT-EU: „Critical Vulnerabilities in PHP“, Advisory 2026-018. Sicherheitswarnung und Handlungsempfehlungen.
- WordPress.org: Technische Voraussetzungen. Hintergrund zur Abhängigkeit von PHP.
Die Fassung beruht auf den vor Veröffentlichung der Korrekturen abrufbaren Originalmeldungen. Konkrete Krankenhausausfälle oder erfolgreiche Angriffe auf einzelne Websites werden mangels geprüfter Belege nicht behauptet.
🔔 Unabhängiger Journalismus lebt von Reichweite. Folgen Sie auf X, Linkedin oder Instagram und bleiben Sie informiert.
