Aktuelle Meldungen über kritische PHP-Sicherheitslücken verunsichern derzeit viele Websitebetreiber. Ob Sie handeln müssen, hängt vor allem davon ab, ob Ihr Hostinganbieter die Sicherheitsupdates bereits eingespielt hat. Eine kurze Prüfung ist deshalb sinnvoll.
PHP ist eine Programmiersprache, auf der viele Websites und Anwendungen basieren. Dazu gehören neben WordPress auch Systeme wie Joomla, Drupal und TYPO3 sowie Onlineshops mit WooCommerce, Shopware oder Magento. Die Sicherheitslücken betreffen deshalb unterschiedliche Websites und Shops.
Die Schwachstellen CVE-2026-109618 und CVE-2026-109619 betreffen PHP selbst. Unter bestimmten Bedingungen könnten Angreifer darüber fremde Befehle auf dem Server ausführen und Websites sowie gespeicherte Daten gefährden. Sicherheitsupdates stehen bereits bereit.
Ist meine Website automatisch gefährdet?
Wenn Ihre Website PHP verwendet, läuft sie mit einer bestimmten Version – vergleichbar mit dem Versionsstand anderer Software. Entscheidend ist, ob diese Version die notwendigen Sicherheitskorrekturen erhalten hat.
Auch „PHP 8“ allein ist keine Entwarnung.
Die Sicherheitslücken wurden mit folgenden PHP-Versionen geschlossen:
- PHP 8.2.35
- PHP 8.3.36
- PHP 8.4.27
- PHP 8.5.12
Manche Anbieter stellen eigene Sicherheitskorrekturen für bestehende Versionen sowie Firewall-Regeln bereit. Die angezeigte Versionsnummer allein ist deshalb nicht immer aussagekräftig.
Was sollten Sie jetzt prüfen?
Im Kundenbereich Ihres Hostinganbieters finden Sie meist die eingestellte PHP-Version. Beachten Sie außerdem aktuelle Sicherheitshinweise des Anbieters. Bleibt etwas unklar, fragen Sie konkret nach:
- Welche PHP-Version verwendet meine Website?
- Sind die Sicherheitsupdates für beide Schwachstellen bereits eingespielt?
- Muss ich selbst eine Einstellung ändern?
Wichtig: Wer ist für die PHP-Version verantwortlich?
Bei einem üblichen Webhosting-Paket (Shared Hosting) gilt:
- Hostinganbieter: Stellt die verfügbaren PHP-Versionen auf dem Server bereit.
- Websitebetreiber: Ist für die Auswahl und Umstellung der PHP-Version verantwortlich.
- Agentur: Besteht ein Wartungsvertrag, prüfen Sie, ob die PHP-Umstellung darin enthalten ist.
Bei einem selbst verwalteten Server gilt: Sie müssen die PHP-Sicherheitsupdates selbst einspielen – sofern kein Dienstleister diese Aufgabe vertraglich übernimmt.
Ein WordPress-Update allein schließt diese PHP-Sicherheitslücken nicht. PHP wird auf dem Server Ihres Hostinganbieters betrieben. Die entsprechenden Sicherheitskorrekturen müssen dort eingespielt werden. Ihr WordPress-CMS, Plugins und Themes aktuell zu halten, bleibt deshalb zusätzlich wichtig.
Alte PHP-Versionen: Jetzt genauer hinsehen
Für ältere PHP Versionen wie PHP 7.x und PHP 8.1 gibt es keine offiziellen Sicherheitsupdates mehr. Bei PHP 8.2 endet diese Versorgung am 31. Dezember 2026. Falls Ihr Anbieter eine eigene Sicherheitswartung anbietet, klären Sie deren Umfang und mögliche Zusatzkosten.
Planen Sie den Wechsel auf eine unterstützte PHP-Version zeitnah. Lassen Sie vorher prüfen, ob Ihre Website mit der neuen Version funktioniert. Veraltete Plugins, Themes oder individuelle Programmierungen können nach einer Umstellung Fehler verursachen.
Erstellen Sie deshalb unbedingt vorher ein Backup. Testen Sie die Umstellung möglichst zunächst auf einer Testkopie Ihrer Website. Prüfen Sie anschließend besonders Kontaktformulare, Buchungen und Shopfunktionen.
Benötigt Ihre Website überhaupt PHP?
WordPress benötigt PHP. Eine einfache Website aus HTML, CSS und Bildern kommt dagegen häufig ohne PHP aus. Einzelne Funktionen, etwa ein Kontaktformular, können es dennoch verwenden.
Auch wenn Ihre Website kein PHP benötigt, kann im Hosting eine alte PHP-Version eingestellt sein. Lassen Sie prüfen, ob diese auf eine aktuelle Version umgestellt werden kann. So vermeiden Sie gegebenenfalls auch Zusatzkosten für die Sicherheitswartung veralteter Versionen.
Häufige Fragen zu PHP-Sicherheitslücken
Wie erkenne ich meine PHP-Version?
Die eingestellte PHP-Version finden Sie meist im Kundenbereich Ihres Hostinganbieters. Alternativ können Sie beim Hosting-Support nachfragen.
Reicht ein WordPress-Update aus?
Nein. WordPress-Updates aktualisieren das Website-System, schließen aber keine Sicherheitslücken in PHP selbst. Dafür sind separate Sicherheitskorrekturen auf dem Server erforderlich.
Kann meine Website nach einer PHP-Umstellung Fehler anzeigen?
Ja. Ältere Plugins, Themes oder individuelle Programmierungen können mit neueren PHP-Versionen inkompatibel sein.
Übernimmt meine Agentur die PHP-Umstellung?
Ihre Agentur übernimmt die PHP-Umstellung, wenn ein aktiver Wartungsvertrag besteht und diese Leistung darin enthalten ist. Ohne entsprechende Vereinbarung liegt die Verantwortung bei Ihnen als Websitebetreiber.