Vor wenigen Tagen ging die Nachricht wie ein Lauffeuer durch die Medien: Zahlreiche Internetseiten waren plötzlich nicht mehr erreichbar. Betroffen waren unter anderem die Polizei, Stadtverwaltungen, Ministerien, Krankenhäuser und öffentliche Einrichtungen. Selbst große Behörden mussten ihre Websites zeitweise vom Netz nehmen.
Am 21. Oktober 2026 sorgte eine schwerwiegende Sicherheitslücke in der Programmiersprache PHP deutschlandweit und international für erhebliche Unruhe.
Auch in Bayern waren zahlreiche Websites betroffen. Neben Internetauftritten der Polizei und verschiedenen Ministerien war beispielsweise die Website der Stadt München zeitweise nicht erreichbar. In anderen Bundesländern sah es ähnlich aus: Auch die Websites des Bundeskriminalamtes, verschiedener Kommunen und zahlreicher Krankenhäuser waren zeitweise offline.
Der Grund war allerdings kein großflächiger Hackerangriff. Viele Betreiber hatten ihre Internetseiten vorsorglich abgeschaltet, um mögliche Angriffe zu verhindern, bis entsprechende Sicherheitsupdates zur Verfügung standen und installiert werden konnten.
Doch warum kann eine Sicherheitslücke in einer einzigen Programmiersprache derart weitreichende Auswirkungen haben? Und was bedeutet das für Unternehmen, die eine eigene Website oder einen Onlineshop betreiben?
Was ist PHP und warum betrifft es so viele Websites?
PHP ist eine Programmiersprache, die im Hintergrund zahlreicher Websites arbeitet. Sie übernimmt wichtige Aufgaben, beispielsweise das Laden von Inhalten, die Verarbeitung von Kontaktformularen oder die Abwicklung von Bestellungen in Onlineshops.
Besonders verbreitete Systeme wie WordPress, WooCommerce, TYPO3, Joomla und Drupal setzen auf PHP.
Rund 69 % aller Websites, deren serverseitige Programmiersprache bekannt ist, nutzen PHP. Damit gehört PHP zu den wichtigsten technischen Grundlagen des Internets.
Die aktuellen Sicherheitslücken zeigen deshalb eindrucksvoll, wie wichtig eine regelmäßige technische Wartung von Websites ist.
Was ist passiert?
Am 21. Oktober 2026 wurden zwei kritische Sicherheitslücken in PHP veröffentlicht:
- CVE-2026-109618
- CVE-2026-109619
Beide Schwachstellen wurden mit einem Schweregrad von 9,2 von 10 Punkten bewertet.
Unter bestimmten Voraussetzungen ermöglichen sie Angreifern, Schadcode auf einem betroffenen Webserver auszuführen – möglicherweise sogar ohne sich vorher anmelden zu müssen.
Die möglichen Folgen sind erheblich:
- Diebstahl sensibler Daten und Zugangsinformationen
- Manipulation von Website-Inhalten
- Einschleusen von Schadsoftware
- Missbrauch der Website für Spam und betrügerische Inhalte
- Ausfälle und vollständige Kompromittierung der Website
Besonders kritisch: Für die Schwachstellen sind bereits Angriffsmethoden öffentlich bekannt. Auch tatsächliche Angriffe wurden inzwischen dokumentiert.
Welche Websites sind betroffen?
Grundsätzlich können alle Websites und Webanwendungen betroffen sein, die eine verwundbare PHP-Version einsetzen.
Dazu gehören nicht nur WordPress-Websites, sondern auch Onlineshops, Unternehmenswebsites und individuell entwickelte Webanwendungen.
Sicherheitsupdates stehen für folgende PHP-Versionen bereit:
| PHP-Version | Sichere Version ab |
|---|---|
| PHP 8.5 | 8.5.12 |
| PHP 8.4 | 8.4.27 |
| PHP 8.3 | 8.3.36 |
| PHP 8.2 | 8.2.35 |
Achtung: PHP 8.1 und ältere Versionen erhalten vom offiziellen PHP-Projekt keine Sicherheitsupdates mehr und sollten auf eine unterstützte Version migriert werden.
Was sollten Website-Betreiber jetzt tun?
1. PHP-Version überprüfen
Die aktuell eingesetzte PHP-Version lässt sich normalerweise im Kundenbereich des Hosting-Anbieters einsehen.
Bei WordPress findet sich die Information außerdem unter Werkzeuge → Website-Zustand → Bericht → Server.
2. PHP-Sicherheitsupdate installieren
Betroffene Installationen sollten schnellstmöglich auf eine abgesicherte PHP-Version aktualisiert werden.
Vorher empfiehlt sich eine vollständige Sicherung der Website inklusive Datenbank sowie eine Prüfung der Kompatibilität von Themes und Plugins.
3. WordPress, Plugins und Themes aktualisieren
Auch wenn die aktuelle Schwachstelle PHP selbst betrifft, sollten WordPress und sämtliche Erweiterungen auf einem aktuellen Stand sein.
Wichtig: Ein WordPress-Update ersetzt kein PHP-Sicherheitsupdate!
4. Website auf Manipulationen überprüfen
Insbesondere bei bisher ungepatchten Websites empfiehlt sich eine Sicherheitskontrolle. Dabei sollten unter anderem unbekannte Administratoren, verdächtige Dateien, ungewöhnliche Weiterleitungen und manipulierte Inhalte geprüft werden.
5. Hosting-Anbieter kontaktieren
Nicht jeder Hosting-Anbieter stellt Sicherheitsupdates gleichzeitig bereit. Wer die PHP-Version nicht selbst aktualisieren kann, sollte seinen Anbieter kontaktieren und sich bestätigen lassen, dass die Sicherheitslücken geschlossen wurden.
Eine Firewall oder ein Sicherheitsplugin allein reicht nicht aus, um diese PHP-Schwachstellen vollständig zu beheben.
Warum regelmäßige Website-Wartung so wichtig ist
Eine professionelle Website benötigt nicht nur ein modernes Design und gute Ladezeiten. Auch die technische Sicherheit muss kontinuierlich überprüft werden.
Veraltete PHP-Versionen, nicht gepflegte Plugins oder fehlende Sicherheitsupdates können erhebliche Risiken darstellen.
Gerade Unternehmen sollten deshalb auf regelmäßige Backups, aktuelle Software, Sicherheitskontrollen und eine zuverlässige technische Betreuung achten.
Wir unterstützen Sie bei der Absicherung Ihrer Website
Sie wissen nicht, welche PHP-Version Ihre Website verwendet oder ob Ihre Website von den aktuellen Sicherheitslücken betroffen sein könnte?
Wolpermedia unterstützt Sie bei der Überprüfung, Aktualisierung und technischen Absicherung Ihrer WordPress-Website.
Von der PHP-Kompatibilitätsprüfung über sichere Updates bis zur Untersuchung auf Schadsoftware helfen wir Ihnen dabei, Ihre Website zuverlässig und sicher zu betreiben.
Kontaktieren Sie uns für einen Website-Sicherheitscheck.