Zwei kritische PHP-Sicherheitslücken: Wie schützen Sie Ihre Website?

Die Sicherheitshinweise des PHP-Projekts beschreiben CVE-2026-109618, die den Umgang mit Speichermangel betrifft, und CVE-2026-109619, bei der ein interner Zustand zwischen Anfragen erhalten bleibt. Beide gelten als kritisch und haben einen CVSS-v4-Wert von 9,2 von 10. Eine erfolgreiche Ausnutzung kann die Ausführung von Code auf einem verwundbaren Server ohne Authentifizierung ermöglichen.

Das Risiko betrifft PHP-Installationen, die Webanfragen verarbeiten, darunter PHP-FPM, Apache mit mod_php, CGI, FrankenPHP und LiteSpeed. Die Voraussetzungen für eine Ausnutzung unterscheiden sich je nach Umgebung. CERT-FR meldete am 22. Oktober Machbarkeitsnachweise für bestimmte Bereitstellungen; daraus lässt sich nicht ableiten, wie viele Websites tatsächlich kompromittiert wurden.

Zum 23. Oktober 2026 schätzt W3Techs, dass PHP bei 69,3 % der Websites eingesetzt wird, deren serverseitige Programmiersprache bekannt ist. Diese Einschränkung ist entscheidend: Die Zahl bezieht sich weder auf sämtliche Websites noch auf eine Bestandsaufnahme der weiterhin verwundbaren Installationen.

Für Ihr Unternehmen ist deshalb die eigene Installation ausschlaggebend. Ein WordPress-Logo, eine normal antwortende Seite oder eine in einem öffentlichen Werkzeug angezeigte Versionsnummer reichen nicht aus, um die Installation beider Korrekturen zu bestätigen.

Das PHP-Projekt veröffentlichte die folgenden Versionen am 21. Oktober 2026. Bei einer direkt vom PHP-Projekt bezogenen Installation prüfen Sie den verwendeten Versionszweig und installieren eine korrigierte Version dieses Zweigs oder eine spätere, mit Ihrer Anwendung kompatible Version.

Linux-Distributionen können eine Korrektur rückportieren, ohne diese Versionsnummer zu übernehmen. Ubuntu hat beispielsweise beide CVEs im Paket 8.3.6-0ubuntu0.24.04.13 für Ubuntu 24.04 behoben. Fragen Sie nach der vollständigen Paketversion und dem zugehörigen Sicherheitshinweis des Anbieters, bevor Sie allein aus der PHP-Versionsnummer Schlüsse ziehen.

PHP 8.1 und ältere Versionszweige werden vom PHP-Projekt nicht mehr allgemein unterstützt. Gezielte Rückportierungen sind verfügbar, stellen diesen Support jedoch nicht wieder her: Prüfen Sie den Leistungsumfang Ihres Anbieters und bereiten Sie eine kompatible Migration vor. Der Support für PHP 8.2 endet am 31. Dezember 2026.

Klären Sie zuerst, wer die PHP-Umgebung ändern kann. Bei Shared Hosting liegt dies in der Regel beim Hosting-Anbieter. Bei einem von Ihrem Unternehmen verwalteten Server stimmen Sie die Arbeiten mit Ihrer technischen Leitung oder Ihrem IT-Betriebsdienstleister ab. Wer Ihre Seiten bearbeitet, hat nicht zwangsläufig Zugriff auf den Server.

WordPress, seine Plugins, sein Theme und PHP sind eigenständige Komponenten. Ein aktuelles WordPress-Dashboard bestätigt nicht, dass die PHP-Umgebung den Patch erhalten hat. Beide Ebenen müssen betreut werden; vor dem Wechsel des PHP-Versionszweigs ist die Kompatibilität zu prüfen.

Laut PHP bietet keine abmildernde Maßnahme einen vollständigen Ersatz für das Update. CERT-FR beschreibt vorläufige, nicht validierte Umgehungsmaßnahmen: Einige verringern nur einen Teil der Angriffsfläche und können Website-Funktionen beeinträchtigen. Eine Web Application Firewall kann zum vorübergehenden Schutz beitragen, ersetzt aber nicht den Patch.

Ist eine sofortige Behebung nicht möglich, stimmen Sie notwendige Einschränkungen oder eine vorübergehende Isolierung mit den Hosting-Verantwortlichen ab. Bei Anzeichen eines Einbruchs beweist ein Update allein nicht, dass der Server sauber ist: Sichern Sie vorhandene Protokolle und lassen Sie den Vorfall untersuchen.

Sinnvolle Wartung hinterlässt nachvollziehbare Aufzeichnungen: betreute Komponenten, zuständige Personen, ausgeführte Arbeiten und durchgeführte Prüfungen. Sie plant auch den Ersatz von Versionen am Ende ihres Supports. Ohne diesen Rahmen kann eine Warnung offenlegen, dass niemand mehr weiß, wie sich die Hosting-Umgebung einer Website aktualisieren lässt.

Verlangen Sie einen schriftlichen Leistungsumfang: PHP und Betriebssystem, CMS und Plugins, individueller Code, Sicherungen, Wiederherstellungstests und Überwachung. Legen Sie fest, wer Warnungen erhält und dringende Eingriffe freigibt. Ziel ist ein anwendbares, dokumentiertes Verfahren; keine Dienstleistung kann die Abwesenheit sämtlicher Sicherheitslücken garantieren.

Sie wissen nicht, welche Version auf Ihrer Website läuft, wer PHP betreut oder welche Updates Vorrang haben sollten? Das technische Audit von Oryon erfasst den Ist-Zustand im vereinbarten Umfang, ordnet Risiken nach Priorität und empfiehlt Maßnahmen. Das Audit und die Umsetzung der Korrekturen sind Leistungen, deren Umfang jeweils gesondert festzulegen ist.

Für Linux-Server verbindet unsere Betriebsbetreuung Bestandsaufnahme, Updates, Überwachung und Sicherungen mit getesteter Wiederherstellung. Bei WordPress-Websites umfasst unsere Unterstützung insbesondere die Übernahme, Absicherung und Wartung, mit Vorbereitung und Prüfungen gemäß Angebot. Gemeinsam klären wir die Zuständigkeiten für Hosting, Website und individuellen Code.

Nennen Sie zur Vorbereitung des Gesprächs die Website-Adresse, Ihren Hosting-Anbieter, das CMS, sofern bekannt, und bereits erhaltene Rückmeldungen zu diesen beiden CVEs. Übermitteln Sie keine Passwörter über das Kontaktformular. Auf dieser Grundlage können wir passende Prüfungen und Eingriffe für Ihre Situation festlegen.