Kritische Lücke in PHP: Was Websitebetreiber jetzt tun sollten
Am 21.10.2026 haben die PHP-Entwickler zwei kritische Sicherheitslücken geschlossen. Das BSI rechnet damit, dass Angreifer sie innerhalb weniger Stunden massenhaft ausnutzen. Betroffen ist ein großer Teil aller Websites, auch viele von kleinen Unternehmen.
Von Leif SandenStand 21.10.20267 Minuten Lesezeit
Inhalt
Hier steht, was passiert ist, woran Sie erkennen, ob Ihre Seite betroffen ist, und was Sie heute noch tun sollten. Im Liveticker halte ich fest, was weltweit dazu bekannt wird.
Was weltweit zur Lücke bekannt wird, aus Presse, Behörden und Sicherheitsforschung, jeweils mit Quelle. Unbestätigtes ist als solches gekennzeichnet. Uhrzeiten in deutscher Zeit.
- 21.10., 18:50Angriffsversuche melden inzwischen mehrere Sicherheitsfirmen, darunter watchTowr, Patchstack, Cloudflare und Vega. Einen erfolgreichen Einbruch hat bisher niemand bestätigt. watchTowr rechnet damit, dass sich das bald ändert. (SecurityWeek)
- 21.10.Debian schließt die Lücken für Debian 13 (PHP 8.4.27) und Debian 12 (PHP 8.2.35). Die Fixes kommen über die normalen Sicherheitsupdates. (Debian)
- 21.10.Die viel genutzte PHP-Paketquelle von Ondřej Surý für Debian und Ubuntu liefert neue Pakete für alle Versionen von PHP 5.6 bis 8.5. Laut einem Bericht ist der Fix dort auch in alte Versionen eingebaut, die das PHP-Projekt selbst nicht mehr pflegt. (Sury-Pakete, Bericht)
Ältere Meldungen anzeigen (14)Ältere Meldungen ausblenden
- 21.10.Ubuntu liefert abgesicherte PHP-Pakete aus, auch für ältere Versionen wie PHP 8.1 in Ubuntu 22.04. Wer Ubuntu nutzt, bekommt den Fix über die normalen Updates. (Ubuntu)
- 21.10., 17:40Check Point verweist auf eine Zählung der Sicherheitsfirma Mallory: Rund 884.000 Server im Netz melden PHP 8.1 oder älter, für die es keinen offiziellen Fix gibt. Das sind Angaben der Server selbst, keine bestätigt verwundbaren Systeme. Die US-Behörde CISA führt die Lücken noch nicht als aktiv ausgenutzt. (Check Point)
- 21.10., 17:35Erste Websites gehen vorsorglich vom Netz: Die Charité nimmt ihre Website offline, die Stadt Mainz deaktiviert mainz.de. Die Seiten der Berliner Feuerwehr und der Berliner Tafel sind gegen 17 Uhr nicht erreichbar. (Tagesspiegel/dpa)
- 21.10., 17:35Laut dpa stuft das BSI die Lage mit Warnstufe 3 (Orange) ein und rät: Wer nicht sofort aktualisieren kann, soll den Webserver vorübergehend vom Internet trennen. (Tagesspiegel/dpa)
- 21.10., nachmittagsOb schon angegriffen wird, ist umstritten. Die Sicherheitsfirma watchTowr meldet Angriffe auf ihre Lockfallen im Netz. Das BSI kennt noch keine bestätigten Angriffe, Sophos ebenfalls nicht. (watchTowr, BSI, Sophos)
- 21.10., 16:36Für Red Hat Enterprise Linux gibt es noch keine abgesicherten PHP-Pakete. AlmaLinux kündigt eigene Fixes an und will sie vor Red Hat ausliefern, zuerst zum Testen. Wer Server mit Red Hat, AlmaLinux oder Rocky Linux betreibt, sollte die Updates eng verfolgen. (AlmaLinux)
- 21.10., 16:31Auch in Österreich gehen erste Angebote vom Netz: Die TU Wien beschränkt Dienste auf das interne Netz, Caritas und die Zeitung NÖN schalten ihre Seiten ab. Die Seite des Bundesinnenministeriums war zeitweise nicht erreichbar, ob wegen der Lücke, ist unklar. Eine Abschaltung heißt nicht, dass eine Seite gehackt wurde. (Stuttgarter Zeitung)
- 21.10., 16:00Die Lücken bekommen den Namen „PHP2Shell“. Die Forscher von Calif und Wiz veröffentlichen Details, laut Sansec ist auch ein Angriffswerkzeug öffentlich. Sansec bestätigt die Lücke unter anderem für WordPress, Joomla, Drupal, Nextcloud, Magento und phpMyAdmin und rechnet mit massenhaften Angriffen. (Sansec)
- 21.10., 16:00Die PHP-Entwickler veröffentlichen PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35. Beide Lücken sind damit geschlossen, ältere Versionen bekommen keinen Fix. (php.net)
- 21.10., 15:56Cloudflare bestätigt im eigenen Blog Angriffe auf seine Kunden. Schutzregeln laufen seit 5 Uhr früh automatisch, auch im kostenlosen Tarif. Cloudflare betont: Das ersetzt das PHP-Update nicht. Das britische NCSC rät, PHP-Systeme sofort zu aktualisieren oder bis dahin offline zu nehmen. (Cloudflare, BleepingComputer)
- 21.10., 10:55Das IT-Notfallteam der EU-Institutionen (CERT-EU) rät, Websites notfalls offline zu nehmen, bis der Patch eingespielt ist. Erste Anbieter wie die Rechnungssoftware easybill gehen vorsorglich vom Netz. (netzwelt)
- 21.10., 09:43Laut Sansec meldet Cloudflare erste Angriffsversuche, noch bevor die Updates erscheinen. Cloudflare hat das am Nachmittag bestätigt. (Sansec)
- 21.10., vormittagsDas BSI warnt vor kritischen Lücken in allen PHP-Versionen und hält eine großflächige Ausnutzung wenige Stunden nach den Updates für wahrscheinlich. (BSI)
- 20.10.Die PHP-Entwickler kündigen ein Sicherheitsupdate für den 21.10. um 16 Uhr an. Am selben Tag sickern erste Details durch. (php.net, Sansec)
Was passiert ist
PHP ist die Programmiersprache, auf der WordPress, Joomla, viele Shops und Online-Terminbuchungen laufen. Die beiden Lücken (CVE-2026-109618 und CVE-2026-109619, genannt „PHP2Shell“) stecken in PHP selbst, nicht in einem Plugin. Über sie können Angreifer ohne Anmeldung eigenen Code auf dem Webserver ausführen. Die Entwickler bewerten beide mit 9,2 von 10 Punkten.
Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat am selben Tag gewarnt. Nach seinem Stand sind alle bekannten PHP-Versionen bis mindestens PHP 5 betroffen. Weil sich Updates heute mit KI-Werkzeugen schnell auswerten lassen, hält das BSI eine großflächige Ausnutzung kurz nach Erscheinen der Updates für wahrscheinlich.
Diese Versionen sind abgesichert
Die Updates sind seit dem 21.10.2026 um 16 Uhr deutscher Zeit verfügbar. Sicher ist PHP ab diesen Versionen:
| Version | Sicher ab |
|---|---|
| PHP 8.5 | 8.5.12 |
| PHP 8.4 | 8.4.27 |
| PHP 8.3 | 8.3.36 |
| PHP 8.2 | 8.2.35 |
| PHP 8.1 und älter | kein Update |
PHP 8.2 bekommt nur noch bis zum 31.12.2026 Sicherheitsupdates, PHP 8.3 bis Ende 2027. Wer jetzt ohnehin aktualisiert, wechselt am besten gleich auf 8.4 oder 8.5.
Für PHP 8.1 und ältere Versionen liefert das PHP-Projekt kein Update mehr. Manche Linux-Distributionen und Hoster flicken alte Versionen selbst nach. Fragen Sie in diesem Fall Ihren Hoster, ob das bei Ihnen passiert ist. Sonst hilft nur der Wechsel auf eine aktuelle Version.
Ist meine Website betroffen?
Wenn Ihre Website mit WordPress, Joomla, TYPO3, Contao, Shopware oder einem ähnlichen System läuft, mit hoher Wahrscheinlichkeit ja. Sicherheitsforscher haben die Lücke unter anderem für WordPress, Joomla, Drupal, Nextcloud, Magento und phpMyAdmin bestätigt. Das gilt auch für eine kleine Seite mit wenigen Besuchern. Angreifer suchen automatisch nach verwundbaren Servern und fragen nicht, wem sie gehören.
Nicht betroffen sind Websites, die ganz ohne PHP auskommen, etwa reine HTML-Seiten oder Seiten, die mit anderen Techniken gebaut sind. Viele Baukästen wie Wix oder Jimdo kümmern sich selbst um ihre Server, dort müssen Sie nichts tun.
Das sollten Sie heute tun
- Fragen Sie Ihren Hoster oder Ihre Agentur, ob das PHP-Update eingespielt ist. Lassen Sie sich die Versionsnummer nennen und vergleichen Sie sie mit der Tabelle oben.
- In WordPress sehen Sie die Version selbst: unter „Werkzeuge“, dann „Website-Zustand“ und „Bericht“, Abschnitt „Server“.
- Läuft die Seite noch auf PHP 8.1 oder älter, klären Sie, ob Ihr Hoster die Lücke trotzdem geschlossen hat. Wenn nicht, gehört die Seite bis zum Umzug offline.
- Betreiben Sie einen eigenen Server, spielen Sie die Updates sofort ein und starten Sie PHP-FPM bzw. den Webserver neu. Am gefährlichsten ist laut den PHP-Entwicklern der Betrieb mit Apache und mod_php.
Einstellungen, die einzelne Angriffswege erschweren, nennt das PHP-Projekt in seiner Meldung. Sie sind ausdrücklich nur ein Notbehelf und ersetzen das Update nicht.
Woran Sie einen Angriff erkennen können
Nach dem Update lohnt ein kurzer Blick, ob schon jemand drin war. Warnzeichen sind neue Administratorkonten, die niemand angelegt hat, unbekannte Dateien im Webordner, Weiterleitungen auf fremde Seiten, Spam aus Ihrem Kontaktformular oder eine Warnung von Google in der Search Console.
Fällt Ihnen etwas davon auf, ändern Sie alle Passwörter, spielen Sie eine Sicherung von vor dem 21.10.2026 ein und lassen Sie die Seite prüfen. Wurden dabei Kundendaten abgegriffen, müssen Sie das meist innerhalb von 72 Stunden der Datenschutzaufsicht melden.
Was dieser Fall zeigt
Lücken in der Grundsoftware sind selten, aber wenn sie kommen, zählt jede Stunde. Wichtig ist deshalb, dass jemand Ihre Website betreut, Warnungen liest und Updates am selben Tag einspielt. Allgemein erklärt steht das im Artikel Veraltete Software ist eine offene Tür.
Die Websites, die ich für meine Kunden baue, laufen ohne PHP und sind von dieser Lücke nicht betroffen. Was zur Betreuung gehört, steht bei der Website-Wartung.
Häufige Fragen
Reicht es, WordPress und die Plugins zu aktualisieren?
Mein Hoster hat sich nicht gemeldet. Ist dann alles in Ordnung?
Ich weiß nicht, wer meine Website betreut. Was jetzt?
Wo finde ich die offiziellen Meldungen?
Mehr aus dem Ratgeber
Sicherheit und Betrieb
Veraltete Software ist eine offene Tür
Warum WordPress, Plugins und PHP regelmäßig Updates brauchen, was ohne Updates passiert und wie Sie in fünf Minuten prüfen, wie alt Ihre Website ist.
Stand 21.10.2026
Recht und Datenschutz
Cookie-Banner: Deko oder gültig?
Wann Ihre Website ein Cookie-Banner braucht, welche Fehler häufig sind und warum die beste Lösung oft eine Website ohne Banner ist. Mit Check zum Selbermachen.
Stand 21.10.2026
Recht und Datenschutz
Google Fonts: Schriften, die Ärger machen können
Warum extern geladene Google Fonts die IP-Adresse Ihrer Besucher weitergeben, was das Landgericht München dazu entschieden hat und wie Sie es selbst prüfen.
Stand 21.10.2026
// Kontakt
Website jetzt prüfen lassen
Schicken Sie mir die Adresse Ihrer Website. Ich sehe nach, ob sie auf PHP läuft, und sage Ihnen, ob Sie handeln müssen. Kostenlos und noch heute, soweit ich es schaffe.