PHP-Sicherheits-
lücken 2026

Die kritischen PHP Sicherheitslücken vom 21. Oktober 2026 haben zahlreiche Websitebetreiber vor erhebliche Herausforderungen gestellt. Einige Websites mussten vorsorglich abgeschaltet werden. Auch wir haben Websites beobachtet, die über Stunden nicht erreichbar waren. Die Ereignisse zeigen, wie wichtig regelmäßige Wartung, klare Verantwortlichkeiten und eine durchdachte technische Architektur sind. Denn eine sichere Website entsteht nicht allein durch die Wahl der richtigen Software. Entscheidend ist, wie sie dauerhaft betrieben wird.

Wie ernst die Situation war, zeigte beispielsweise das Europäische Patentamt. Es nahm seine Website und mehrere Onlineportale vorsorglich vom Netz, bis die notwendigen Sicherheitsupdates installiert waren. Auch andere Websites waren zeitweise nicht erreichbar. Mitunter erschien lediglich eine allgemeine Fehlermeldung, ohne weitere Informationen für die Besucher.

Eine solche Unterbrechung kann Geschäftsprozesse beeinträchtigen und wirkt nach außen wenig professionell. Allerdings muss man zwischen einer vorsorglichen Abschaltung zum Schutz eines Systems und einem technisch bedingten Ausfall unterscheiden.

Beides wirft eine wichtige Frage auf: Wie gut ist Ihre Website vorbereitet, wenn kurzfristig sicherheitsrelevante Änderungen notwendig werden?

PHP ist eine serverseitige Programmiersprache, die weltweit bei zahlreichen Websites, Content Management Systemen und Onlineshops eingesetzt wird. Bekannte Systeme wie WordPress, Drupal oder Joomla nutzen PHP als technische Grundlage.

Laut W3Techs verwendeten am 27. Oktober 2026 rund 69 Prozent aller Websites, deren serverseitige Programmiersprache ermittelt werden konnte, PHP.

Die Sicherheitsupdates vom 21. Oktober beheben zwei kritische Schwachstellen mit den Kennungen CVE-2026-109618 und CVE-2026-109619. Unter bestimmten Voraussetzungen können Angreifer diese ausnutzen, um ohne vorherige Anmeldung Schadcode auf betroffenen Servern auszuführen.

Für die unterstützten PHP Versionsreihen wurden folgende Sicherheitsupdates veröffentlicht:

PHP 8.2.35

PHP 8.3.36

PHP 8.4.27

PHP 8.5.12

Betreiber betroffener Systeme sollten die entsprechenden Updates beziehungsweise abgesicherte Pakete ihres Softwareanbieters unverzüglich installieren.

Besonders problematisch sind ältere PHP Versionen. PHP 8.1 und frühere Versionsreihen werden vom offiziellen PHP Projekt nicht mehr regulär unterstützt. Einzelne Softwareanbieter stellen dafür noch eigene Sicherheitskorrekturen bereit. Auch PHP 8.2 erreicht am 31. Dezember 2026 das Ende seiner offiziellen Sicherheitsunterstützung.

Für Unternehmen bedeutet das: Es reicht nicht, nur auf eine aktuelle Sicherheitslücke zu reagieren. Die gesamte technische Umgebung muss regelmäßig aktualisiert werden.

Wenn eine Website für einige Stunden nicht erreichbar ist, kann das bereits erhebliche Auswirkungen haben. Kunden finden keine Informationen, Kontaktanfragen gehen verloren und digitale Geschäftsprozesse werden unterbrochen.

Noch gravierender können jedoch die Folgen eines erfolgreichen Angriffs sein.

Gelingt es Angreifern, eine Website zu kompromittieren, können sie unter Umständen Daten auslesen, Inhalte manipulieren oder Schadsoftware verbreiten. Auch Websitebesucher können dadurch gefährdet werden.

Unter bestimmten Voraussetzungen kann eine kompromittierte Website sogar als Ausgangspunkt für Angriffe auf weitere Unternehmenssysteme dienen. Ob das möglich ist, hängt unter anderem von den Zugriffsberechtigungen, der Netzwerkarchitektur und den vorhandenen Schutzmaßnahmen ab.

Websitesicherheit ist deshalb nicht nur ein Thema für die Marketingabteilung oder den betreuenden Webdienstleister. Sie ist Teil der gesamten IT-Sicherheit eines Unternehmens.

Bei der Entwicklung einer Website stehen meist Gestaltung, Inhalte und Funktionen im Mittelpunkt. Die Website wird geplant, umgesetzt und veröffentlicht.

Doch damit ist die Arbeit nicht abgeschlossen.

Eine Website besteht aus zahlreichen technischen Komponenten, die regelmäßig gewartet werden müssen. Werden notwendige Aktualisierungen über längere Zeit aufgeschoben, kann das erhebliche Konsequenzen haben.

Wir haben beispielsweise im Rahmen einer kommunalen Ausschreibung erlebt, dass eine Website vollständig neu aufgebaut werden musste. Das bestehende CMS war nach wenigen Jahren technisch so veraltet, dass eine Aktualisierung nach Einschätzung des bisherigen Dienstleisters kaum noch wirtschaftlich erschien. Der Aufwand wurde ähnlich hoch eingeschätzt wie für einen vollständigen Neuaufbau.

Ein anderer Fall zeigt ein weiteres Problem: Ein Hostinganbieter musste aufgrund gravierender Sicherheitsrisiken seine Serverumgebung aktualisieren. Die darauf betriebenen Anwendungen waren jedoch nicht ausreichend auf die neue Umgebung vorbereitet. Nach dem Update funktionierten bestimmte Softwarekomponenten nicht mehr und die Website war nicht mehr erreichbar. Dabei ist nicht zwangsläufig der Hostinganbieter verantwortlich. Er muss seine Infrastruktur absichern und kann kritische Sicherheitsupdates nicht beliebig lange aufschieben.

Das eigentliche Problem entsteht häufig, wenn die technische Infrastruktur und die darauf betriebenen Anwendungen nicht ausreichend aufeinander abgestimmt gewartet werden.

Werden Systeme dagegen kontinuierlich aktualisiert, lassen sich notwendige Anpassungen meist besser planen. Müssen mehrere Jahre technischer Weiterentwicklung auf einmal nachgeholt werden, kann der Aufwand erheblich steigen.

An einer Unternehmenswebsite sind häufig mehrere Dienstleister beteiligt. Die Agentur entwickelt die Website, ein Softwareanbieter stellt das CMS bereit und ein Hostingunternehmen betreibt die Server.

Das kann gut funktionieren, sofern die Verantwortlichkeiten klar geregelt sind.

Problematisch wird es, wenn jeder Beteiligte ausschließlich seinen eigenen Bereich betrachtet.

Der Hostinganbieter aktualisiert beispielsweise PHP, kennt aber die individuellen Anwendungen nicht ausreichend. Die Agentur kennt die Website, ist jedoch nicht für die Serveradministration zuständig. Und der Kunde muss im Ernstfall zunächst herausfinden, wer überhaupt verantwortlich ist.

Gerade bei kritischen Sicherheitsvorfällen kann dadurch wertvolle Zeit verloren gehen.

Ein professioneller Websitebetrieb erfordert deshalb mehr als regelmäßige Updates. Die Verantwortlichen müssen das Zusammenspiel von Infrastruktur, Betriebssystem, Softwarekomponenten, CMS und individuellen Erweiterungen verstehen.

Ebenso wichtig sind eine laufende Überwachung, regelmäßige Datensicherungen und klar geregelte Reaktionsprozesse.

Denn es hilft wenig, eine Sicherheitslücke erfolgreich zu schließen, wenn anschließend die Anwendung nicht mehr funktioniert.

Sie müssen kein IT Spezialist sein, um sich einen ersten Eindruck von der technischen Betreuung Ihrer Website zu verschaffen.

Drei Fragen können dabei helfen.

1. Wer kümmert sich um die regelmäßige Wartung?

Fragen Sie nach, in welchen Abständen Ihre Systeme aktualisiert werden, wie Sicherheitsmeldungen erkannt werden und wer die notwendigen Maßnahmen durchführt.

Entscheidend ist, ob die Verantwortlichen sowohl die Serverinfrastruktur als auch die darauf betriebenen Anwendungen kennen und wie im Ernstfall reagiert wird.

2. Sind grundlegende Sicherheitsmaßnahmen richtig eingerichtet?

Einen ersten Anhaltspunkt liefert das kostenlose Onlinewerkzeug securityheaders.com
.

Dort können Sie die Adresse Ihrer Website eingeben und bestimmte sicherheitsrelevante HTTP Header überprüfen lassen. Diese Einstellungen helfen beispielsweise dabei, verschiedene Angriffsarten im Browser zu erschweren.

Das Ergebnis zeigt, welche der geprüften Schutzmaßnahmen vorhanden sind und wo Verbesserungsbedarf bestehen könnte.

Ein solches Werkzeug ersetzt keine umfassende Sicherheitsprüfung. Fehlende Schutzmaßnahmen können aber ein guter Anlass sein, beim verantwortlichen Dienstleister nachzufragen.

3. Welche Leistungen sind für die laufende Wartung vorgesehen?

Wer eine größere Summe in seine Website investiert, anschließend aber lediglich einen günstigen Hostingvertrag bezahlt, sollte prüfen, welche Leistungen tatsächlich enthalten sind.

Werden das CMS, die PHP-Umgebung und andere Softwarekomponenten regelmäßig aktualisiert? Gibt es eine technische Überwachung, Datensicherungen und definierte Reaktionszeiten?

Professionelle Wartung verursacht Aufwand und muss entsprechend budgetiert werden. Das ist bei einer Website nicht anders als bei anderen wichtigen technischen Einrichtungen eines Unternehmens.

Auch für uns bei ATRIVIO waren die PHP-Sicherheitslücken vom 21. Oktober ein wichtiges Thema.

Dank unserer etablierten Wartungsprozesse und der laufenden Pflege unserer Systeme konnten wir kurzfristig reagieren und die erforderlichen Sicherheitsupdates in unserer betreuten Infrastruktur durchführen.

Die von uns betreuten Kundenwebsites blieben dabei grundsätzlich erreichbar. Lediglich beim Neustart beziehungsweise bei der Umschaltung einzelner Dienste konnte es zu kurzen Unterbrechungen im Sekundenbereich kommen.

Entscheidend waren die bereits vorhandenen Voraussetzungen: regelmäßig gewartete Systeme, bekannte technische Abhängigkeiten, eingespielte Abläufe und eine Softwarearchitektur, die notwendige Wartungsarbeiten erleichtert.

Eine wichtige Rolle spielt dabei die besondere Architektur des geneva Website Managers, einer Anwendung unserer geneva Suite.

Bei Content Management Systemen, bei denen die redaktionelle Verwaltung und die öffentliche Website auf derselben Infrastruktur betrieben werden, können Wartungsarbeiten am CMS unmittelbare Auswirkungen auf die Erreichbarkeit haben.

Bei geneva verfolgen wir bewusst einen anderen Ansatz.

Das Content Management System und die öffentlichen Webserver sind physisch voneinander getrennt.

Redakteure erstellen, bearbeiten und kontrollieren ihre Inhalte im geneva Website Manager. Sobald diese freigegeben und veröffentlicht werden, überträgt das System sie verschlüsselt auf die separate Webserverumgebung.

Dort stehen die veröffentlichten Inhalte unabhängig vom redaktionellen CMS zur Verfügung.

Das bietet einen wesentlichen Vorteil: Wenn wir das CMS aktualisieren oder neue Funktionen einspielen, können diese Arbeiten unabhängig von der öffentlichen Website erfolgen.

Viele Aktualisierungen führen wir im Hintergrund durch. Falls notwendig, vereinbaren wir ein Wartungsfenster, möglichst zu Zeiten, in denen wenige Redakteure mit dem System arbeiten.

Währenddessen kann die redaktionelle Arbeit kurzzeitig eingeschränkt sein. Die bereits veröffentlichte Website bleibt jedoch erreichbar.

Natürlich verhindert diese Trennung nicht sämtliche Betriebsunterbrechungen. Auch die öffentlichen Webserver müssen gewartet werden. Zudem können Websites dynamische Funktionen oder Integrationen enthalten, die auf externe Systeme zugreifen. Solche Abhängigkeiten müssen individuell berücksichtigt werden.

Mit dem geneva Website Manager stellen wir eine Softwarelösung für die Verwaltung und Veröffentlichung von Webinhalten bereit. Auf Wunsch übernehmen wir mit unserem Managed Hosting auch den Betrieb und die laufende Wartung der dafür bereitgestellten technischen Infrastruktur.

Unser Managed Hosting beginnt bereits bei der Planung. Gemeinsam mit dem Kunden bestimmen wir die benötigten Ressourcen und Sicherheitsanforderungen. Anschließend richten wir die Infrastruktur ein, härten die Systeme und konfigurieren unter anderem Zugriffsberechtigungen, SSL-Zertifikate, Security Header etc.

Im laufenden Betrieb kümmern wir uns um die Aktualisierung der vereinbarten Systemkomponenten, die tägliche Datensicherung und die technische Überwachung.

Unsere Systeme werden rund um die Uhr überwacht. Bei kritischen Problemen werden unsere Administratoren automatisch informiert und reagieren innerhalb der vereinbarten Reaktionszeiten.

Die Infrastruktur betreiben wir auf eigener Hardware in einem Rechenzentrum in Deutschland. Je nach Anforderungen können zusätzliche Maßnahmen zur Erhöhung der Verfügbarkeit vorgesehen werden.

Ein weiterer wichtiger Aspekt ist die persönliche Betreuung. Unsere Ansprechpartner kennen die Kundenprojekte und ihre technischen Besonderheiten. Bei notwendigen Updates oder Problemen müssen die Zusammenhänge deshalb nicht erst mühsam rekonstruiert werden.

Managed Hosting durch ATRIVIO ist eine optionale Leistung. Dank der getrennten Architektur können geneva Websites auch auf extern betriebenen Servern veröffentlicht werden.

Für Unternehmen mit eigener IT-Infrastruktur bieten wir außerdem die Möglichkeit, geneva innerhalb der kundeneigenen Systeme zu installieren und dort in Abstimmung mit der IT-Abteilung zu betreuen.

Auch bestehende Digitalagenturen können weiterhin Gestaltung, Konzeption und individuelle Entwicklungen übernehmen.

Wir verstehen uns ausdrücklich als Partner. Nicht jede Agentur muss sämtliche Kompetenzen für den sicheren und zuverlässigen Betrieb einer Website selbst vorhalten.

Entscheidend ist, dass die Zusammenarbeit funktioniert und die Verantwortlichkeiten klar geregelt sind.

Nein. Wenn Ihre bestehende Website zuverlässig funktioniert, technisch aktuell ist und professionell betreut wird, besteht kein Grund, allein aufgrund der aktuellen Sicherheitsmeldungen das System auszutauschen.

Zeigen sich allerdings grundlegende technische Schwächen, kann eine Modernisierung sinnvoll sein.

Dabei muss nicht zwangsläufig die gesamte Website neu gestaltet werden. Wenn Design und Inhalte weiterhin überzeugen, können diese unter geeigneten Voraussetzungen weitgehend übernommen werden, während die technische Grundlage erneuert wird.

Mit geneva bieten wir auch dafür entsprechende Möglichkeiten und arbeiten bei Bedarf gerne mit der bisherigen Agentur zusammen.