PHP-Sicherheitslücke: Was Websitebetreiber jetzt tun sollten

Was bedeutet die PHP-Warnung für Ihre Website?

PHP ist eine Programmiersprache, deren Code auf dem Webserver ausgeführt wird. Die PHP-Laufzeit ist die Software, die diesen Code verarbeitet. Sie bildet eine eigene technische Ebene unter Anwendungen wie einem Content-Management-System, kurz CMS, mit dem Sie Websiteinhalte verwalten.

Stand: 24.10.2026: Die Sicherheitsupdates vom 21. Oktober sind verfügbar; zusätzlich sollte Ihre Betreuung den PHP-Hinweis vom 23. Oktober bewerten.

Unter dem Namen PHP2Shell werden zwei Schwachstellen besprochen: CVE-2026-109618 und CVE-2026-109619. Sie können Angreifern ermöglichen, ohne Anmeldung fremden Code auf dem Server auszuführen. Der BSI-Hinweis zu den PHP-Schwachstellen erklärt den entscheidenden Unterschied: Auch die PHP-Laufzeit muss korrigiert werden, ein Update der Anwendung allein reicht dafür nicht.

Was prüfen Sie zuerst bei Ihrem Hoster?

Öffnen Sie Ihr Hostingkonto über den bekannten Zugang, wählen Sie die richtige Domain und sehen Sie nach, welche PHP-Version ihr zugeordnet ist. Bei verwalteten Produkten oder unklarer Anzeige fragen Sie den Anbieter nach der tatsächlich eingesetzten Laufzeit und ihrem Patchstatus.

Ein Anbieterbeispiel ist IONOS: Unter „Menü > Hosting“ gelangen Sie in der Kachel „PHP“ über „Verwalten“ zur Tabelle „PHP-Einstellungen“. Dort sehen Sie die Zuordnung je Domain. Die Anleitung PHP-Version im IONOS-Konto anzeigen beschreibt diesen Weg. Andere Hoster verwenden andere Menüs. Sehen Sie zunächst nur nach; ein unvorbereiteter Versionswechsel kann Websitefunktionen beeinträchtigen.

Eine Dateiendung wie .html verrät den PHP-Einsatz nicht zuverlässig. Wie das PHP-Handbuch zur serverseitigen Verarbeitung erklärt, können auch HTML-Dateien durch PHP verarbeitet werden. Die Hostingzuordnung ist deshalb der bessere Einstieg als der Blick auf die sichtbare Adresse.

Welchen Patchnachweis brauchen Sie?

Laut PHP-Sicherheitsmeldung vom 21. Oktober beheben PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35 die beiden benannten Schwachstellen. Ein Patch ist eine Softwarekorrektur für einen Fehler oder eine Sicherheitslücke.

Anbieter können Korrekturen auch in ältere Pakete zurückportieren, also ohne Wechsel auf dieselbe veröffentlichte Versionsnummer übernehmen. Fragen Sie deshalb nach dem konkreten Anbieterbeleg für beide CVEs. Eine Anzeige wie „PHP 8.3“ zeigt nur den Versionszweig. Umgekehrt beweist eine abweichende Paketnummer allein noch keinen fehlenden Patch.

Nutzen Sie diese eigene Anfragevorlage für die schriftliche Rückmeldung Ihres Hosters. Sie ist eine praktische Arbeitshilfe, kein offizielles Herstellerformular. Ersetzen Sie „ausfüllen“ durch Angaben oder die Antwort der zuständigen Person; unbekannte Ergebnisse bleiben offen.

Was wird dokumentiert?	Ihr Eintrag	Wer bestätigt es?
Domain und tatsächlich verwendete PHP-Laufzeit	ausfüllen	Hoster oder Serverbetreuung
Paketstand und Korrekturen für beide CVE-Kennungen	ausfüllen oder Anbieterbeleg verlinken	Hoster oder Serverbetreuung
Zeitpunkt und Umfang der eingespielten Aktualisierung	ausfüllen	Ausführende Fachperson
Bewertung des PHP-Hinweises vom 23.10. und offene Maßnahmen	ausfüllen	Fachkundige Betreuung
Geprüfte Websitefunktionen und Ergebnis nach Änderung	ausfüllen	Websitebetreuung und Betreiber
Zuständige Person und nächste Rückmeldung	ausfüllen	Betreiber und Betreuung

Der zusätzliche PHP-Hinweis vom 23. Oktober betrifft einen seltenen Konfigurationsfall bei „Session upload progress“, einer Funktion zur Fortschrittserfassung von Uploads. Lassen Sie die Voraussetzungen und die Herstellerempfehlung fachkundig bewerten. Die genannten Releases korrigieren die zwei ursprünglichen CVEs; daraus folgt keine umfassende Sicherheitsfreigabe.

Planen Sie anschließend eine getrennte Funktionsabnahme wichtiger Seiten und Anfragewege. Dazu können Sie Kontaktformular und tatsächlichen E-Mail-Eingang prüfen. Ein erfolgreicher Funktionstest bestätigt den geprüften Ablauf, nicht die Sicherheit des Servers.

Aktualisieren, migrieren oder vorübergehend abschalten?

Die folgende Tabelle ist unsere eigene redaktionelle Orientierung, kein offizieller Entscheidungsbaum von PHP oder BSI. Der passende Weg richtet sich nach verfügbaren Korrekturen und der eingesetzten Software. Stimmen Sie ihn mit der zuständigen Fachperson ab.

Weg	Wann sinnvoll?	Grenze
Korrigiertes Paket im vorhandenen Zweig	Anbieter liefert Korrektur, Anwendung bleibt kompatibel	Konkreten Patchnachweis anfordern
Wechsel auf unterstützten PHP-Zweig	Bisherige Version erhält keine regulären Projektupdates mehr	Softwarekompatibilität und Funktionsprüfung vorbereiten
Fachkundig veranlasste zeitweilige Trennung vom Internet	Zeitnahes Patchen ist nicht möglich	Website wird unerreichbar; Korrektur bleibt erforderlich

PHP 8.1 und ältere Zweige erhalten keine regulären Updates mehr vom PHP-Projekt. Sonderkorrekturen und zurückportierte Anbieterpakete sind davon zu unterscheiden. Übergangsmaßnahmen wie eine Web Application Firewall, ein vorgeschalteter Filter für Webanfragen, ersetzen den Patch nicht dauerhaft.

Klären Sie bei einer Beauftragung, wer die Laufzeit betreut und welche Arbeiten vereinbart sind. Der Leistungsumfang und die optionale Betreuung bei WEB999 unterscheiden Websiteerstellung und laufende Services. Ein Websitefestpreis ist kein Pauschalpreis für Sicherheitsarbeiten am bestehenden Hosting.

Häufige Fragen

Betrifft die PHP-Sicherheitslücke jede Website?

Maßgeblich sind PHP-Installationen, die Webanfragen verarbeiten. Prüfen Sie deshalb die tatsächliche Hostingzuordnung Ihrer Domain. Aus der sichtbaren Gestaltung einer Firmenwebsite lässt sich die verwendete Servertechnik nicht sicher ableiten.

Reicht ein WordPress- oder Plugin-Update?

Die PHP-Laufzeit muss ebenfalls korrigiert werden. WordPress und Plugins sind Anwendungen beziehungsweise Erweiterungen auf einer anderen Ebene. Lassen Sie Anwendungspflege und PHP-Patch getrennt bestätigen.

Ist meine Website sicher, wenn sie normal lädt?

Erreichbarkeit zeigt, dass die aufgerufene Seite antwortet. Für den Patchstatus brauchen Sie den Paketnachweis Ihrer Betreuung. Auch ein unverändertes Erscheinungsbild ersetzt diese Bestätigung nicht.

Was gilt für Managed Hosting?

Bei Managed Hosting übernimmt der Anbieter vereinbarte Verwaltungsaufgaben. IONOS verwaltet beispielsweise bei Managed-WordPress- und MyWebsite-Produkten die PHP-Version selbst. Fragen Sie Ihren eigenen Anbieter ausdrücklich nach dem aktuellen Patchstatus und offenen Maßnahmen.

Was kostet die Aktualisierung?

Das hängt vom Vertrag, der vorhandenen Umgebung und nötigen Anpassungen ab. Lassen Sie Leistungsumfang und mögliche Zusatzkosten vorab benennen. Der Preis einer neuen Website ist keine belastbare Kostenangabe für diese Aktualisierung.

Brauche ich wegen der Lücke eine neue Website?

Prüfen Sie zuerst die vorhandene Laufzeit und verfügbare Korrekturen mit Ihrer Betreuung. Eine spätere Neuplanung ist eine eigene unternehmerische Entscheidung. Sie ersetzt die akute Absicherung des bestehenden Systems nicht.

Datengrundlage: PHP-Sicherheitsmeldung vom 21.10.2026, PHP-Zusatzhinweis vom 23.10.2026, BSI Version 1.2 vom 22.10.2026 sowie PHP- und IONOS-Dokumentation. Stand: 24.10.2026.