Kritische Sicherheitslücken in PHP haben im Oktober 2026 für erhebliche Unruhe gesorgt. Sicherheitsbehörden warnen vor möglichen Angriffen, Unternehmen überprüfen ihre Systeme und einige Websites wurden vorsorglich abgeschaltet. Der Vorfall zeigt, wie wichtig eine aktuelle technische Grundlage ist – und warum es sich lohnt, die eigene Website regelmäßig zu hinterfragen.
IN DIESEM ARTIKEL01 / 07Was ist passiert?
Was ist passiert?
Am 21. Oktober 2026 wurden zwei kritische Sicherheitslücken in PHP bekannt: CVE-2026-109618 und CVE-2026-109619. Beide erhielten einen CVSS-v4.0-Wert von 9,2 und ermöglichen unter bestimmten Voraussetzungen die Ausführung von Schadcode auf betroffenen Servern – auch ohne vorherige Anmeldung.
Die europäische Cybersicherheitsagentur ENISA und CERT-EU riefen Unternehmen deshalb dazu auf, ihre Systeme umgehend zu aktualisieren.
Für die unterstützten PHP-Versionen stehen seit dem 21. Oktober folgende Sicherheitsupdates bereit:
Auch ältere Versionen sind ein Thema. PHP 8.1 und früher werden offiziell nicht mehr regulär unterstützt. Wegen der Schwere der Sicherheitslücken hat das PHP-Team jedoch zusätzliche Quellcode-Korrekturen für PHP 7.4 bis 8.1 bereitgestellt. Einige Hosting-Anbieter und Linux-Distributionen liefern ebenfalls eigene Sicherheitsupdates.
Am 23. Oktober wurde eine weitere Sicherheitslücke (CVE-2026-115560) bekannt. Sie betrifft nur Anwendungen mit bestimmten, ungewöhnlichen PHP-Konfigurationen. Als vorübergehende Schutzmaßnahme empfiehlt das PHP-Projekt, die Einstellung session.upload_progress.enabled zu deaktivieren. Die Schwachstelle wird im regulären Release-Zyklus behandelt. Eine vollständige Sicherheitsmeldung soll mit dem nächsten PHP-Update veröffentlicht werden.
Warum auch WordPress-Websites betroffen sein können
Viele Unternehmen nutzen WordPress und verlassen sich auf automatische Updates. Das ist grundsätzlich sinnvoll, reicht aber nicht immer aus.
Denn WordPress läuft auf PHP. Selbst wenn WordPress, Plugins und Themes aktuell sind, kann die zugrunde liegende PHP-Installation noch Sicherheitslücken enthalten.
Ein WordPress-Update ersetzt deshalb kein PHP-Sicherheitsupdate.
Website-Betreiber sollten beim Hosting-Anbieter überprüfen, ob ihre PHP-Installation auf einem sicheren Stand ist. Das gilt besonders für ältere Websites, die seit mehreren Jahren kaum technisch verändert wurden.
Ist PHP jetzt unsicher?
Nein. PHP ist nach wie vor eine bewährte Technologie, mit der sich professionelle und sichere Websites entwickeln lassen.
Die aktuellen Vorfälle zeigen allerdings, wie abhängig Websites von regelmäßiger Wartung und Sicherheitsupdates sind.
Gerade bei älteren Unternehmenswebsites kommen häufig zahlreiche Plugins, individuelle Erweiterungen und über Jahre gewachsene Strukturen zusammen. Das kann Aktualisierungen erschweren und den Wartungsaufwand erhöhen.
Eine Website kann also äußerlich problemlos funktionieren, während ihre technische Grundlage längst modernisiert werden sollte.
Wann lohnt sich eine moderne Website?
Nicht jede Sicherheitslücke ist ein Grund, eine Website komplett neu entwickeln zu lassen. Oft genügt ein Update.
Anders sieht es aus, wenn die bestehende Website langsam ist, regelmäßig technische Probleme verursacht oder neue Funktionen nur mit großem Aufwand ergänzt werden können.
Heute stehen Unternehmen verschiedene Möglichkeiten zur Verfügung. Technologien wie Next.js, React oder Astro erlauben es, moderne Websites gezielt auf schnelle Ladezeiten, eine gute Nutzererfahrung und zukünftige Erweiterungen auszurichten.
Gerade für klassische Unternehmenswebsites können schlanke, weitgehend statische Lösungen interessant sein. Sie benötigen für die öffentliche Darstellung häufig weniger serverseitige Komponenten.
Das bedeutet nicht, dass solche Technologien automatisch sicherer als PHP sind. Auch sie müssen regelmäßig aktualisiert und professionell betrieben werden.
Entscheidend ist, welche technische Lösung tatsächlich zum Unternehmen passt.
Fazit: Ein guter Zeitpunkt, die eigene Website zu überprüfen
Die PHP-Sicherheitslücken vom Oktober 2026 machen deutlich, dass eine Website auch nach ihrer Veröffentlichung Aufmerksamkeit benötigt.
Für Unternehmen kann der Vorfall ein guter Anlass sein, nicht nur über notwendige Updates nachzudenken, sondern auch über die langfristige Entwicklung ihres Internetauftritts.
Manchmal reichen kleinere Verbesserungen. In anderen Fällen lohnt sich eine neue technische Grundlage, die schneller, flexibler und einfacher zu erweitern ist.
Sie möchten Ihre Unternehmenswebsite modernisieren?
MSA DataX entwickelt moderne Websites und individuelle digitale Lösungen für Unternehmen. Ob ein neuer Internetauftritt oder die vollständige Modernisierung einer bestehenden Website – wir unterstützen Sie von der Planung bis zur technischen Umsetzung.
Sie möchten wissen, ob Ihre Website technisch noch auf dem neuesten Stand ist? Kontaktieren Sie uns – wir beraten Sie gerne persönlich und unverbindlich.
Quellen und weiterführende Informationen
- PHP – Offizielle Sicherheitsmeldungen
- CERT-EU – Critical Vulnerabilities in PHP
- ENISA – Gemeinsame europäische Sicherheitserklärung
- PHP – Unterstützte Versionen
Redaktioneller Stand: 24. Oktober 2026.