Kritische PHP-Sicherheitslücke: Das sollten Sie jetzt wissen
Stellen Sie sich vor, der Hersteller Ihres Haustürschlosses meldet: Bei allen Modellen lässt sich die Tür ohne Schlüssel öffnen, die Bauanleitung liegt öffentlich im Netz – und das neue Schloss gibt es ab heute Nachmittag. So ähnlich fühlt sich die Warnung an, die das Bundesamt für Sicherheit in der Informationstechnik (BSI) am 21. Oktober 2026 veröffentlicht hat.
Die gute Nachricht: Das neue Schloss gibt es schon. Es muss nur jemand einbauen.
Worum geht es?
Um PHP. Das ist die Technik im Hintergrund, die einen großen Teil aller Websites antreibt. In PHP wurden zwei Sicherheitslücken gefunden. Angreifer könnten darüber fremden Code auf einem Server ausführen – ohne Passwort und ohne dass jemand auf etwas klickt.
Das BSI hält es für wahrscheinlich, dass die Lücken kurzfristig ausgenutzt werden. Erste unbestätigte Berichte gibt es bereits. Es gilt deshalb: nicht in Panik verfallen, aber auch nicht liegen lassen.
Betrifft mich das?
Vermutlich ja, wenn Ihre Website, Ihr Shop oder Ihr Kundenportal auf PHP läuft. Das trifft auf viele bekannte Systeme zu, zum Beispiel WordPress, TYPO3, Joomla, Drupal, Magento und Nextcloud.
Ein Hinweis, der gern untergeht: Ein Update Ihres Website-Systems allein hilft nicht. Die Lücke steckt eine Ebene tiefer, im Server selbst. Das ist, als würden Sie die Möbel erneuern, obwohl das Schloss kaputt ist.
Was sollten Sie jetzt tun?
- Fragen Sie Ihren Hoster oder Ihre IT: »Läuft bei uns PHP, und ist die Sicherheitslücke vom 21. Oktober schon geschlossen?« Die Frage kostet zwei Minuten.
- Lassen Sie den Server aktualisieren. Ihre IT weiß, was zu tun ist. Die korrigierten Versionen sind PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35.
- Läuft noch eine ältere PHP-Version? Dann ist jetzt der richtige Zeitpunkt, die Umstellung auf eine aktuelle Version einzuplanen. Für ältere Versionen gibt es zwar Notfall-Updates, aber das ist nur eine Übergangslösung.
Die Details stehen im offiziellen Advisory auf php.net.
Und wenn das nicht sofort geht?
Dann wird es unbequem, aber ehrlich: Das BSI empfiehlt, den Server vorübergehend vom Internet zu trennen. Zwischenlösungen wie eine Web Application Firewall gibt es, sie schützen nach aktuellem Stand aber nicht vollständig.
Wer nicht abschalten kann, sollte so schnell wie möglich patchen und den Server bis dahin im Auge behalten. Auffällige Aktivitäten auf PHP-Servern sollten Sie ernst nehmen.
Für Ihre IT: das Original
Alle technischen Details, Workarounds und Referenzen stehen im Hinweis des BSI (BITS-H Nr. 2026-297981-1132, Version 1.1 vom 21.10.2026). Das Dokument ist mit TLP:CLEAR gekennzeichnet und darf frei weitergegeben werden.
Fragen zu Ihrer PHP-Version?
Sie wissen nicht, welche PHP-Version bei Ihnen läuft oder ob Ihr Hoster schon gepatcht hat? Dann fragen Sie uns. Wir schauen gemeinsam mit Ihnen nach – unkompliziert und ohne Panikmache.
Stand: 21. Oktober 2026 (Version 1.1 des BSI-Hinweises). Dieser Beitrag fasst den Hinweis zusammen und ersetzt nicht die Prüfung durch Ihre IT oder Ihren Hoster.
