06146 90 96 072Kostenloses Erstgespräch
Kostenloses Erstgespräch06146 90 96 072

Blog · Sicherheit · Aktuell

BSI warnt vor kritischen PHP-Lücken: Was Website-Betreiber jetzt tun müssen

Am 21. Oktober 2026 hat das Bundesamt für Sicherheit in der Informationstechnik vor zwei kritischen Schwachstellen in PHP gewarnt. Auf PHP laufen WordPress, Joomla, TYPO3, Contao und viele Onlineshops. Hier lesen Sie, ob Ihre Website betroffen ist und was Sie heute noch erledigen sollten.

Kevin Schäfer21. Oktober 20266 Minuten Lesezeit

Betroffenheit prüfenWas jetzt zu tun ist

Selbstcheck in einem Klick

Worauf läuft Ihre Website?

Ob Sie handeln müssen, hängt davon ab, wer den Server und die PHP-Installation hinter Ihrer Website betreibt. Wählen Sie Ihr System, und Sie sehen sofort, was für Sie gilt.

Wählen Sie Ihr System. Ihre Empfehlung erscheint dann sofort an dieser Stelle, mit den Schritten, die für Sie gelten.

Antwort zuerst

Das Wichtigste im Überblick

Fünf Punkte, die Sie kennen sollten, auch wenn Ihnen für den Rest des Beitrags gerade die Zeit fehlt.

  1. Zwei kritische Lücken in PHP

    Das BSI bewertet beide mit 9,2 von 10 Punkten nach CVSS 4.0. Es geht um CVE-2026-109618 und CVE-2026-109619. Angreifer könnten darüber aus der Ferne Schadcode auf Webservern mit PHP-Anwendungen ausführen. Nach aktuellem Stand sind alle bekannten PHP-Versionen bis mindestens PHP 5 betroffen.

  2. Patches sind da, jetzt zählen Stunden

    Die Updates der PHP-Entwickler sind seit dem Nachmittag des 21. Oktober 2026 für die unterstützten Versionen erschienen. Das BSI rechnet mit massenhafter Ausnutzung binnen weniger Stunden. Wer jetzt wartet, verschenkt genau die Zeit, auf die es ankommt.

  3. Ein WordPress-Update reicht nicht

    Ein Update von WordPress, Joomla oder TYPO3 allein schließt die Lücke nicht. Gepatcht werden muss PHP auf dem Server. Die Schwachstellen stecken in der PHP-Laufzeitumgebung selbst, nicht im Content-Management-System. Bei klassischem Webhosting übernimmt das meist der Hoster, bei eigenen Servern und Docker-Containern sind Sie selbst zuständig.

  4. PHP 8.1 und älter bekommt keinen Patch

    PHP 8.2 erhält Sicherheitsupdates nur noch bis zum 31.12.2026. PHP 8.1 ist seit dem 31.12.2025 ohne Unterstützung, PHP 7.4 schon seit dem 28.11.2022. Wer noch darauf läuft, wartet auf einen Patch, der nie kommt.

  5. Vom Netz nehmen ist meist unnötig

    Prüfen Sie zuerst, ob Ihr Hoster gepatcht hat und ob Ihre PHP-Version noch Updates erhält. Erst wenn eine veraltete Version läuft, die sich nicht kurzfristig aktualisieren lässt, kann eine Wartungsseite bis zur Umstellung sinnvoll sein.

Checkliste

Was jetzt konkret zu tun ist

Diese sechs Schritte gelten für jede Website, die auf einem selbst betriebenen System mit PHP läuft. Arbeiten Sie sie der Reihe nach ab, die ersten drei am besten noch heute.

  1. Heute erledigen

    PHP-Version herausfinden

    Die Version steht im Kundenbereich Ihres Hosters, meist unter einem Punkt wie PHP-Einstellungen. In WordPress zeigt sie außerdem der Bereich Werkzeuge, Website-Zustand, Bericht, Server.

  2. Heute erledigen

    Beim Hoster nachfragen

    Fragen Sie konkret, ob die korrigierten PHP-Versionen eingespielt sind und ab wann. Bei klassischem Webhosting erledigt das in der Regel der Hoster, bei eigenen Servern niemand außer Ihnen.

  3. Heute erledigen

    Veraltete Versionen umstellen

    Läuft PHP 8.1 oder älter, gibt es keinen Patch. Stellen Sie auf eine unterstützte Version um und testen Sie danach, ob Website, Formulare und Shop noch funktionieren.

  4. Docker-Container separat aktualisieren

    Container bringen ihre eigene PHP-Version mit. Ein Update am Server erreicht sie nicht. Das Basis-Image muss neu gezogen und der Container neu gebaut werden.

  5. Plugins, Themes und Erweiterungen pflegen

    Diese Lücke steckt zwar in PHP, die häufigste Einfallstür bleiben aber Erweiterungen. Aktualisieren Sie alles und entfernen Sie, was niemand mehr pflegt.

  6. Auf Auffälligkeiten achten

    Das BSI empfiehlt, erreichbare PHP-Webserver zu überwachen. Achten Sie auf neue Administratorkonten, unbekannte Dateien und plötzliche Weiterleitungen.

Muss die Website vom Netz?

In den meisten Fällen nicht. Prüfen Sie zuerst, ob Ihr Hoster gepatcht hat und ob Ihre PHP-Version noch Updates erhält. Nur wenn eine veraltete Version läuft, die sich nicht kurzfristig aktualisieren lässt, kann eine Wartungsseite bis zur Umstellung sinnvoll sein. Das BSI nennt die vorübergehende Trennung vom Netz als Option für genau diesen Fall.

Unsere Einordnung

Warum wir geschlossene Systeme empfehlen

Die PHP-Warnung zeigt ein Muster, das sich regelmäßig wiederholt. Entscheidend ist nicht, welches System Sie nutzen, sondern wer es pflegt.

Bei einem geschlossenen System kümmert sich der Anbieter zentral um Server, Software und Sicherheitsupdates. Eine Lücke wie die in PHP wird einmal geschlossen und gilt dann für alle Websites auf der Plattform. Plugins und Server-Wartung entfallen, und damit fällt die häufigste Einfallstür weg. Ein Restrisiko bleibt bei jeder Software, auch bei einem gehosteten System.

Wo die Risiken im WordPress-Ökosystem liegen

11.334

neue Schwachstellen im WordPress-Ökosystem im Jahr 2025

91 Prozent

davon steckten in Plugins

rund 5 Stunden

mediane Zeit bis zur Massenausnutzung bei stark angegriffenen Lücken

Quelle: Patchstack, State of WordPress Security in 2026. Patchstack verkauft selbst Sicherheitsprodukte für WordPress, die Zahlen stammen aus der eigenen Schwachstellendatenbank.

Selbst betriebenes System

  • PHP, Datenbank und Server müssen Sie oder Ihr Hoster aktuell halten.
  • Jedes Plugin und jedes Theme ist ein eigener Baustein mit eigenen Updates.
  • Wer für Updates zuständig ist, muss klar geregelt sein, sonst bleiben sie liegen.
  • Dafür haben Sie volle Kontrolle und können fast jede Funktion nachrüsten.

Gehostetes, geschlossenes System

  • Server, Software und Sicherheitsupdates verantwortet der Anbieter zentral.
  • Es gibt keine Plugins von Dritten, die einzeln gepflegt werden müssten.
  • Sie haben weniger technischen Spielraum, dafür kaum Wartungsaufwand.
  • Sie hängen am Anbieter. Das gehört ehrlicherweise mit in die Abwägung.

Umstieg auf OnePage.io: Wir übernehmen das

Wir bauen Ihre Website auf Basis Ihrer bisherigen Inhalte neu auf. Danach sind Server, PHP-Versionen und Plugins nicht mehr Ihr Thema, und bei der nächsten Warnung müssen Sie nicht selbst reagieren.

Einen ausführlichen Vergleich mit Kosten über sieben Jahre finden Sie in unserem Beitrag WordPress, Baukasten oder modernes CMS.

Häufige Fragen

Vier Fragen zur PHP-Warnung

Diese Fragen erreichen uns seit der Warnung am häufigsten. Die Antworten geben den Stand vom 21. Oktober 2026 wieder.

Nein, Sie müssen nichts tun. OnePage.io ist ein vom Anbieter betriebenes, geschlossenes System. Sie betreiben dort keinen eigenen Server und keine eigene PHP-Installation. Sicherheitsupdates spielt der Anbieter zentral für alle Websites ein.

Nein. Die beiden Schwachstellen stecken in der PHP-Laufzeitumgebung auf dem Server, nicht in WordPress selbst. Ein Update von WordPress, Joomla oder TYPO3 schließt sie deshalb nicht. Entscheidend ist, dass PHP auf dem Server gepatcht ist. Bei klassischem Webhosting erledigt das meist der Hoster, bei eigenen Servern und Docker-Containern sind Sie selbst zuständig.

In den meisten Fällen nicht. Prüfen Sie zuerst, ob Ihr Hoster die korrigierten PHP-Versionen eingespielt hat und ob Ihre Version überhaupt noch Updates bekommt. Nur wenn eine veraltete Version läuft, die sich nicht kurzfristig aktualisieren lässt, kann eine Wartungsseite bis zur Umstellung sinnvoll sein.

Laut PHP-Projekt erhalten PHP 8.2, 8.3, 8.4 und 8.5 Sicherheitsupdates, PHP 8.2 allerdings nur noch bis zum 31.12.2026. PHP 8.1 wird seit dem 31.12.2025 nicht mehr unterstützt, PHP 7.4 seit dem 28.11.2022. Wer eine dieser alten Versionen nutzt, bekommt für die aktuelle Lücke keinen Patch.

Kostenlose Prüfung

Sie wissen nicht genau, worauf Ihre Website läuft?

Schicken Sie uns die Adresse Ihrer Website. Wir prüfen kostenlos, auf welchem System sie läuft, und sagen Ihnen, ob Sie wegen der PHP-Warnung handeln müssen. Wenn kein Handlungsbedarf besteht, sagen wir Ihnen auch das.

Kostenlose Prüfung anfragenAnrufen: 06146 90 96 072Alle Beiträge im Blog

Lieber schriftlich? Schreiben Sie an anfrage@schaefer-online-marketing.de. Wir sind Montag bis Freitag von 9 bis 19 Uhr und samstags von 10 bis 14 Uhr erreichbar.

Über den Autor

Porträtfoto von Kevin Schäfer, Geschäftsführer von Schäfer Online-Marketing

Kevin Schäfer

  • Geschäftsführer
  • Online-Marketing Consultant
  • Sachverständiger für SEO, GEO, AIO und Webdesign

Kevin Schäfer führt Schäfer Online-Marketing mit Beratungsbüro in Bischofsheim. Bei Sicherheitswarnungen wie dieser sieht er immer wieder dasselbe Bild. Die Technik ist längst gelöst, nur ist niemand zuständig, der sie einspielt. Deshalb fragt er bei jeder Website zuerst, wer die Updates verantwortet, und erst danach, wie sie aussieht.

Schäfer Online-Marketing · Beratungsbüro Darmstädter Straße 11 · 65474 Bischofsheim · Telefon 06146 90 96 072

Passend dazu

Diese beiden Beiträge vertiefen die Frage, welches System auf Dauer zu Ihnen passt.

Verwendete Quellen

Stand unserer Recherche: 21.10.2026, 18:30 Uhr. Die Lage entwickelt sich schnell. Maßgeblich sind die jeweils aktuelle Warnung des BSI und die Sicherheitshinweise der PHP-Entwickler. Die Zahlen zum WordPress-Ökosystem stammen von Patchstack, einem Anbieter von Sicherheitsprodukten für WordPress, und nicht aus einer unabhängigen Erhebung. Dieser Beitrag ersetzt keine individuelle Sicherheitsberatung.

© 2026 Schäfer Online-Marketing, Kevin Schäfer. USt-IdNr. DE330104626