Kritische PHP-Sicherheitslücke: Alle bei uns gehosteten Websites sind abgesichert

Kritische PHP-Sicherheitslücke: Ihre Website ist bei uns in guten Händen

Update vom 22. Oktober 2026: Das Rechenzentrum hat die Sicherheitsupdates auf allen Servern vollständig eingespielt (Stand 15:30 Uhr). Für bei uns gehostete Websites ist nichts weiter zu tun.

Am 20. Oktober 2026 hat das CERT-Bund des BSI vor mehreren kritischen Schwachstellen in PHP gewarnt (Meldung WID-SEC-2026-4055, CVE-2026-109618 und CVE-2026-109619). Viele von Ihnen haben uns deshalb angerufen. Vielen Dank für Ihr Vertrauen! Hier fassen wir zusammen, was passiert ist und wie es gelöst wurde.

Was ist passiert?

PHP ist die Programmiersprache, auf der ein Großteil aller Websites läuft, darunter WordPress, WooCommerce, Shopware und Joomla. In PHP wurden Sicherheitslücken entdeckt, die das BSI mit der höchsten Risikostufe „kritisch“ (CVSS 9.8 von 10) einstuft. Angreifer hätten sie über das Internet ausnutzen können, ohne sich vorher anmelden zu müssen.

Betroffen waren praktisch alle PHP-Versionen, also auch aktuelle, gut gepflegte Installationen. Es handelte sich nicht um einen Fehler in Ihrer Website oder Ihrem CMS, sondern um ein Problem in der Server-Software selbst.

Wie wurde das Problem gelöst?

Direkt nach Bekanntwerden der Details hat das Serverteam im Rechenzentrum zunächst Schutzmaßnahmen aktiviert, um die Lücken bis zum eigentlichen Update abzusichern. Anschließend wurden die offiziellen Sicherheitskorrekturen auf allen Servern eingespielt. Seit dem 22. Oktober 2026 sind alle Systeme vollständig gepatcht.

Auch ältere PHP-Versionen wurden abgesichert: Die Korrekturen wurden nachträglich in diese Versionen übernommen (sogenanntes Backporting).

Für das Update mussten die Server kurz neu gestartet werden. Ihre Website war dabei für einen kurzen Moment nicht erreichbar. Wir danken Ihnen für Ihr Verständnis.

Warum zeigt meine Website eine „alte“ PHP-Version an?

Vielleicht sehen Sie in WordPress unter Werkzeuge → Website-Zustand zum Beispiel PHP 8.4.26, obwohl in Fachartikeln von 8.4.27 als abgesicherter Version die Rede ist. Das ist kein Grund zur Sorge.

Unser Rechenzentrum setzt für die meisten PHP-Versionen speziell gehärtete Server-Pakete ein. Deren Hersteller hat die Sicherheitskorrekturen direkt in die bestehende Version eingebaut, ohne die Versionsnummer zu erhöhen. Das Rechenzentrum hat uns ausdrücklich bestätigt, dass die Korrekturen in allen PHP-Versionen enthalten sind, unabhängig von der angezeigten Nummer.

Ihre Website liegt bei einem anderen Anbieter?

Dann empfehlen wir Ihnen, bei Ihrem Hosting-Anbieter nachzufragen, ob die Sicherheitsupdates bereits eingespielt wurden. Gerne unterstützen wir Sie dabei.

Zusammengefasst

• Es gab eine kritische Sicherheitslücke in PHP, die nahezu alle Versionen betraf.
• Alle bei uns gehosteten Websites sind seit dem 22. Oktober 2026 abgesichert, auch mit älteren PHP-Versionen.
• Eine scheinbar „alte“ Versionsnummer ist kein Problem: Die Korrekturen sind enthalten.
• Sie müssen nichts unternehmen. Bei Fragen sind wir wie gewohnt für Sie da.

Ihr Netgenerator-Team