Am 21. Oktober 2026 wurden zwei kritische Sicherheitslücken in PHP bekannt, die eine unbefugte Ausführung von Schadcode und die Übernahme betroffener Systeme ermöglichen können. Das niederländische Nationale Zentrum für Cybersicherheit (NCSC) empfiehlt, die verfügbaren Sicherheitsupdates umgehend zu installieren. Doch welche Websites sind betroffen und was sollten Betreiber von WordPress- und Shopify-Websites jetzt tun?
Am 21. Oktober 2026 veröffentlichte das PHP-Projekt Sicherheitsupdates für zwei kritische Schwachstellen: CVE-2026-109618 und CVE-2026-109619. Beide können unter bestimmten Voraussetzungen die Ausführung von Schadcode aus der Ferne ermöglichen, ohne dass sich ein Angreifer zuvor anmelden muss. Im schlimmsten Fall kann dadurch ein betroffenes Serversystem kompromittiert werden.
Das NCSC hat am 22. Oktober 2026 bestätigt, dass derzeit keine Hinweise auf eine erfolgreiche Ausnutzung der Schwachstellen vorliegen. Das schliesst zukünftige Angriffe jedoch nicht aus. Deshalb sollten Betreiber betroffener Systeme die verfügbaren Sicherheitsupdates unverzüglich installieren.
Betroffen sein können Websites und Webanwendungen, deren Server PHP zur Verarbeitung von Webanfragen verwenden. Dazu gehören insbesondere WordPress-Websites, WooCommerce-Shops und andere PHP-basierte Anwendungen.
Entscheidend ist dabei nicht, wie komplex eine Website ist oder welche Funktionen sie anbietet. Auch eine einfache Unternehmenswebsite ohne Benutzerkonten, Onlineshop oder Kontaktformular kann gefährdet sein, wenn sie eine verwundbare PHP-Installation verwendet.
Ein regulärer Shopify-Shop ist von diesen PHP-Sicherheitslücken nicht direkt betroffen. Shopify ist eine verwaltete E-Commerce-Plattform, bei der die technische Infrastruktur und die zentrale Plattform durch Shopify betrieben und gewartet werden. Shopbetreiber müssen PHP auf ihrem Shopify-Shop nicht selbst aktualisieren.
Eine zusätzliche Prüfung ist jedoch sinnvoll, wenn externe Anwendungen oder individuell entwickelte Integrationen auf einem separaten Server mit PHP laufen. Dazu können beispielsweise Middleware für ERP-Systeme, individuelle Schnittstellen oder eigene Webhook-Verarbeitungsdienste gehören. Solche Systeme müssen unabhängig von Shopify überprüft und gegebenenfalls aktualisiert werden.
Ja. Auch eine reine Informations- oder Unternehmenswebsite auf WordPress kann betroffen sein, denn WordPress und viele seiner Erweiterungen basieren auf PHP. Eine fehlende Shopfunktion oder ein Verzicht auf Benutzerkonten schützt nicht vor Schwachstellen in der serverseitigen PHP-Umgebung.
Ob eine konkrete Website tatsächlich verwundbar ist, hängt unter anderem von der eingesetzten PHP-Version und der Serverkonfiguration ab. Deshalb sollten auch kleine Unternehmenswebsites und persönliche Blogs überprüft werden.
Wenn ein Angreifer die Schwachstelle erfolgreich ausnutzt und dadurch Zugriff auf das Serversystem erhält, sind je nach Berechtigungen und Konfiguration verschiedene Folgen möglich:
Diese Folgen sind mögliche Szenarien eines erfolgreichen Angriffs und bedeuten nicht, dass jede verwundbare Website automatisch kompromittiert wird.
Das PHP-Projekt hat Sicherheitsupdates für mehrere unterstützte Versionszweige veröffentlicht. Laut der offiziellen Empfehlung vom 21. Oktober 2026 sind folgende Versionen mit den Korrekturen ausgestattet:
Für Linux-Distributionen und LTS-Versionen sollten die vom jeweiligen Anbieter bereitgestellten Sicherheitsupdates installiert werden. Auch für ältere PHP-Versionen wurden aufgrund der Schwere der Schwachstellen teilweise minimale Patches bereitgestellt. Da PHP 8.1 und ältere Versionen nicht mehr regulär vom PHP-Projekt unterstützt werden, sollte zusätzlich ein Upgrade auf eine unterstützte Version geprüft werden.
Website-Betreiber sollten folgende Schritte durchführen:
Das Update sollte nicht aufgeschoben werden. Falls eine betroffene Installation nicht sofort aktualisiert werden kann, empfiehlt das NCSC, das verwundbare System vorsorglich offline zu halten, bis die Sicherheitsmassnahmen umgesetzt wurden.
Die aktuellen PHP-Sicherheitslücken betreffen potenziell zahlreiche Websites und Webanwendungen, darunter auch einfache WordPress-Unternehmensseiten. Betreiber sollten ihre PHP-Version umgehend überprüfen und die verfügbaren Sicherheitsupdates installieren.
Bei einem regulären Shopify-Shop ist keine direkte Aktualisierung der PHP-Version erforderlich. Separate PHP-basierte Server und Integrationen sollten jedoch unabhängig geprüft werden.
Weitere Informationen finden Sie in der aktuellen Sicherheitsmeldung des NCSC und auf der offiziellen PHP-Website.
Komplette IT-Betreuung für Unternehmen und Zuhause – sicher, stabil und persönlich.
Wann lohnt sich ein KI-Agent für Ihr Unternehmen?
