Das Bundesamt für Sicherheit in der Informationstechnik (BSI) warnt seit dem 21. Oktober 2026 vor zwei kritischen Sicherheitslücken in PHP, der Technik hinter WordPress und vielen anderen Websites. Angreifer könnten darüber ohne Anmeldung Schadcode auf Webservern ausführen. Betriebe sollten jetzt klären, ob ihre Website, ihre Webanwendungen und ihre Netzwerkgeräte das Update bereits erhalten haben.
Was ist die PHP-Sicherheitslücke und warum warnt das BSI?
PHP ist eine Programmiersprache, mit der viele Websites auf dem Server arbeiten - darunter WordPress, Shop-Systeme und zahlreiche Webportale. Am 21. Oktober haben die PHP-Entwickler Updates für zwei Schwachstellen veröffentlicht (CVE-2026-109618 und CVE-2026-109619), die in Fachkreisen „PHP2Shell" genannt werden. Sie sind mit 9,2 von 10 Punkten bewertet: Laut Cybersicherheitswarnung des BSI lässt sich Schadcode aus der Ferne ausführen, ohne Anmeldung und ohne dass jemand etwas anklicken muss.
Betroffen sind nach Angaben des BSI alle bekannten PHP-Versionen bis mindestens PHP 5. BSI-Vizepräsident Thomas Caspers rechnet damit, dass Angreifer die Updates mit KI-Werkzeugen schnell auswerten, und spricht in der Pressemitteilung vom 21. Oktober von „unverzüglichem Handlungsbedarf".
Wie ernst ist die Lage?
Mehrere Städte, Stadtwerke und die Bundesverwaltung haben ihre Webportale am 21. und 22. Oktober vorsorglich abgeschaltet, bis die Updates eingespielt waren. Sicherheitsforscher melden erste Angriffsversuche. Eine erfolgreiche Ausnutzung in der Breite war dem BSI laut seiner aktualisierten Warnung vom 22. Oktober nicht bekannt. Entwarnung ist das nicht: Jeder Server ohne Update bleibt angreifbar. Wie wichtig zügige Updates sind, zeigte zuletzt auch der Microsoft-Patchday im Oktober.
Wer ist betroffen?
- Die Firmenwebsite: Läuft Ihre Website mit WordPress oder einem anderen PHP-System, muss der Server darunter aktualisiert werden - egal ob er bei einem Hoster, einer Agentur oder im eigenen Haus steht.
- Webanwendungen im eigenen Netz: etwa Intranet, Zeiterfassung, Ticket- oder Buchungssysteme mit Browser-Oberfläche, sofern sie mit PHP arbeiten.
- Netzwerkgeräte: Laut BSI veröffentlichen immer mehr Hersteller von Netzwerkkomponenten eigene Hinweise, weil PHP teils in ihren Produkten steckt. Hier helfen nur die Firmware-Updates des jeweiligen Herstellers.
Welche PHP-Versionen sind abgesichert?
Die PHP-Entwickler haben Updates für die noch gepflegten Versionszweige herausgegeben. Der Überblick (Stand: 23. Oktober 2026):
| PHP-Versionszweig | abgesichert ab |
|---|---|
| 8.5 | 8.5.12 |
| 8.4 | 8.4.27 |
| 8.3 | 8.3.36 |
| 8.2 | 8.2.35 |
| 8.1 und älter | kein reguläres Update des PHP-Projekts - Umstieg auf eine aktuelle Version nötig |
Wie finde ich heraus, welche PHP-Version meine Website nutzt?
In WordPress steht die PHP-Version unter Werkzeuge › Website-Zustand › Bericht im Abschnitt „Server". Wichtig: Ein Update von WordPress oder von Plugins aktualisiert PHP nicht. PHP ist Sache des Servers und damit des Hosters oder des IT-Dienstleisters, wie auch der Sicherheitshersteller Malwarebytes betont.
Sie wissen nicht genau, auf welchen Systemen in Ihrem Betrieb PHP läuft? Im kostenlosen Erstgespräch klären wir in Ruhe, welche Server und Geräte jetzt ein Update brauchen.
Was bedeutet das für Sie?
- Hoster oder Agentur fragen: Lassen Sie sich bestätigen, dass das PHP-Update auf allen Ihren Websites bereits installiert ist - nicht nur geplant.
- Eigene Server prüfen: PHP auf eine abgesicherte Version bringen und die PHP-Dienste danach neu starten, sonst greift das Update nicht.
- Alte Versionen ablösen: Websites mit PHP 8.1 oder älter auf eine aktuelle Version umstellen lassen.
- Geräte nicht vergessen: Herstellerhinweise zu Firewall, Router und Netzwerkspeicher lesen und Firmware-Updates einspielen.
- Auffälligkeiten ernst nehmen: Unbekannte Inhalte auf der Website, neue Benutzerkonten oder fremde Dateien sofort prüfen lassen. Eine aktuelle Datensicherung macht eine Wiederherstellung beherrschbar.
Wer seine Server nicht selbst im Blick behalten möchte, kann die Aufgabe an einen IT-Dienstleister abgeben, etwa an die okm Bürosysteme GmbH: Bei den Managed Services von okm gehören Monitoring, Updates und Wartung zur laufenden Betreuung, und okm plant und wartet Server und Netzwerke und sichert sie mit Firewalls ab. okm betreut seit 1990 Selbstständige, Unternehmen, Kanzleien und Praxen in Sachsen-Anhalt und der Region Braunschweig-Wolfsburg - mehr unter Über okm und auf unserer Seite IT-Lösungen nach Branche.
