Seit gestern ist die Fachpresse voll davon: In PHP, der Sprache hinter WordPress und den meisten Websites im Netz, wurden zwei schwere Sicherheitslücken gefunden. Das klingt beunruhigend. Die gute Nachricht steht aber gleich am Anfang: Die Lücken sind geschlossen, und die großen Hoster haben das Update bereits eingespielt.
Was ist passiert?
Am 21. Oktober 2026 hat das PHP-Projekt neue Versionen veröffentlicht, die zwei Fehler beheben (CVE-2026-109618 und CVE-2026-109619). Beide liegen tief im Inneren von PHP, dort, wo eine Anfrage an den Server angenommen und wieder aufgeräumt wird. Unter bestimmten Bedingungen konnte ein Angreifer darüber eigenen Code auf dem Server ausführen, ohne sich vorher anzumelden.
Deshalb ist die Lücke mit 9,2 von 10 Punkten als kritisch eingestuft. Weil der Fehler in PHP selbst steckt und nicht in WordPress, hilft auch die sicherste WordPress-Einstellung dagegen nicht. Das Update muss auf dem Server passieren.
Warum kein Grund zur Panik besteht
Bei so einer Lücke zählt vor allem, wie schnell das Update ankommt. Und das ging diesmal sehr schnell. Die großen Linux-Distributionen haben die Korrekturen schon vor der Veröffentlichung bekommen und konnten sie sofort ausliefern.
Wir haben noch am selben Tag nachgesehen, welche PHP-Version die Seiten unserer Kunden ausliefern. Das Ergebnis: Die Hoster, bei denen die meisten unserer Kunden liegen, haben innerhalb weniger Stunden nachgezogen, darunter IONOS und AD IT Systems. Wer bei einem dieser Anbieter hostet, muss nichts weiter tun.
Diese PHP-Versionen sind sicher:
| PHP-Zweig | Sicher ab Version |
|---|---|
| 8.5 | 8.5.12 |
| 8.4 | 8.4.27 |
| 8.3 | 8.3.36 |
| 8.2 | 8.2.35 |
| 8.1 und älter | kein Update mehr – Umstieg nötig |
Was Sie jetzt tun können
Sie haben einen Wartungsvertrag bei uns? Dann lehnen Sie sich zurück. Wir haben Ihre Seite im Blick und melden uns, falls doch etwas zu tun ist.
Sie betreuen Ihre Seite selbst? Dann schauen Sie kurz nach, welche PHP-Version läuft. In WordPress finden Sie die Angabe unter Werkzeuge → Website-Zustand → Bericht → Server. Steht dort eine ältere Version als in der Tabelle oben, fragen Sie bei Ihrem Hoster nach. Läuft Ihre Seite noch auf PHP 8.1 oder älter, ist jetzt ein guter Zeitpunkt für den Umstieg, denn diese Versionen bekommen gar keine Sicherheitsupdates mehr.
Sie haben einen eigenen Server? Dann liegt das Update bei Ihnen oder Ihrem Dienstleister. Hier sollte es heute noch passieren.
Warum regelmäßige Wartung genau für solche Tage da ist
Sicherheitslücken wird es immer geben, in PHP, in WordPress, in Plugins. Entscheidend ist, dass jemand hinschaut, wenn eine bekannt wird, und weiß, was zu tun ist. Genau das übernehmen wir mit unserer WordPress-Wartung: Updates, Sicherheit und Backups im Paket, damit aus einer Meldung wie dieser kein teures Problem wird.
Sie sind unsicher, ob Ihre Seite betroffen ist? Rufen Sie an unter 02974 96 79 79 0 oder schreiben Sie an info@creatin-g.de. Wir schauen kurz drauf und sagen Ihnen, woran Sie sind.
Und wie es in einem bekannten Buch heißt: Don’t Panic.
