Kritische PHP-Sicherheitslücken: Warum Unternehmen jetzt ihre Webseiten überprüfen sollten

Zwei neu entdeckte Sicherheitslücken in PHP sorgen aktuell für erhebliche Sicherheitsrisiken. Betroffen sein können Unternehmenswebseiten, Onlineshops und webbasierte Anwendungen. Wir erklären, welche Gefahren bestehen und was Unternehmen jetzt unternehmen sollten.

Was ist passiert?

Am 21. Oktober 2026 wurden zwei kritische Sicherheitslücken in der Programmiersprache PHP veröffentlicht. Die Schwachstellen tragen die Bezeichnungen CVE-2026-109618 und CVE-2026-109619 und wurden mit einem Schweregrad von 9,2 von 10 Punkten bewertet.

Das klingt zunächst sehr technisch. Für Unternehmen ist jedoch vor allem eines wichtig: Die Sicherheitslücken können es Angreifern unter bestimmten Voraussetzungen ermöglichen, Schadcode auf betroffenen Webservern auszuführen – ohne sich vorher anmelden zu müssen.

Da PHP weltweit bei einer Vielzahl von Webseiten und Anwendungen eingesetzt wird, kann die Sicherheitslücke Unternehmen unterschiedlichster Branchen und Größen betreffen.

Was ist PHP und warum betrifft das mein Unternehmen?

PHP ist eine Programmiersprache, die im Hintergrund vieler Webseiten arbeitet.

Sie sorgt beispielsweise dafür, dass Kontaktformulare funktionieren, Inhalte dynamisch geladen werden oder Kunden über einen Onlineshop bestellen können.

Auch bekannte Systeme wie WordPress, Joomla und zahlreiche individuell entwickelte Webseiten basieren auf PHP.

Das Problem: Viele Unternehmer wissen gar nicht, welche Technik hinter ihrer Webseite steckt.

Häufig wurde die Unternehmenswebseite vor mehreren Jahren von einer Agentur erstellt. Seitdem läuft sie scheinbar problemlos. Ob die eingesetzte Software regelmäßig aktualisiert wird, ist dagegen oft nicht bekannt.

Gerade bei älteren Webseiten kann das zum Sicherheitsrisiko werden.

Welche Gefahren bestehen konkret?

Wird eine der aktuellen Sicherheitslücken erfolgreich ausgenutzt, können die Folgen für ein Unternehmen erheblich sein.

1. Diebstahl vertraulicher Daten

Angreifer könnten Zugang zu Informationen erhalten, auf die der Webserver zugreifen kann. Dazu gehören möglicherweise Kundendaten, Kontaktanfragen oder interne Informationen.

2. Manipulation der Unternehmenswebseite

Cyberkriminelle könnten die Webseite verändern, Besucher auf betrügerische Seiten umleiten oder Schadsoftware verbreiten.

3. Ausfall der Webseite

Im schlimmsten Fall kann ein erfolgreicher Angriff dazu führen, dass die Webseite oder wichtige Online-Dienste nicht mehr funktionieren.

Für Unternehmen, die über ihre Webseite Kundenanfragen oder Bestellungen erhalten, können daraus direkte wirtschaftliche Schäden entstehen.

4. Missbrauch des Webservers

Ein kompromittierter Server kann auch für weitere kriminelle Aktivitäten genutzt werden, beispielsweise zum Versand betrügerischer Nachrichten oder für Angriffe auf andere Systeme.

5. Datenschutzrechtliche Konsequenzen

Werden personenbezogene Daten kompromittiert, können zusätzlich datenschutzrechtliche Melde- und Dokumentationspflichten entstehen. Ob eine Meldung erforderlich ist, hängt vom jeweiligen Vorfall und dessen Risiken ab.

Sind nur große Unternehmen betroffen?

Nein. Auch kleine und mittelständische Unternehmen können betroffen sein.

Cyberkriminelle suchen häufig automatisiert nach verwundbaren Systemen im Internet. Dabei spielt es zunächst keine Rolle, ob die betroffene Webseite zu einem internationalen Konzern, einem Handwerksbetrieb oder einer Arztpraxis gehört.

Eine kleine Unternehmenswebseite kann genauso eine technische Schwachstelle aufweisen wie ein umfangreiches Webportal.

Die Unternehmensgröße schützt nicht vor automatisierten Cyberangriffen.

Ich habe meine Webseite bei einem großen Hosting-Anbieter. Bin ich damit sicher?

Nicht zwangsläufig.

Hosting-Anbieter wie IONOS, STRATO oder andere Dienstleister stellen die technische Infrastruktur bereit und übernehmen je nach Vertragsmodell bestimmte Wartungs- und Sicherheitsaufgaben.

Die Verantwortung für die verwendete PHP-Version, die eigentliche Webseitenprogrammierung und die Aktualisierung von Anwendungen kann jedoch teilweise beim Kunden oder dessen Webagentur liegen.

Deshalb sollte geprüft werden, welche Leistungen der Hosting-Anbieter tatsächlich übernimmt.

Wichtig ist die Unterscheidung zwischen dem Schutz der Serverinfrastruktur und der Aktualisierung der auf dem Server betriebenen Webseite.

Auch eine Webseite, die über HTTPS erreichbar ist und ein gültiges SSL-Zertifikat besitzt, kann von PHP-Sicherheitslücken betroffen sein.

Was sollten Unternehmen jetzt konkret tun?

Wir empfehlen fünf Maßnahmen:

1. Prüfen lassen, ob PHP eingesetzt wird

Klären Sie mit Ihrem IT-Dienstleister, Webentwickler oder Hosting-Anbieter, ob Ihre Webseite PHP verwendet.

Ist dies der Fall, sollte festgestellt werden, welche Version tatsächlich eingesetzt wird und ob die aktuellen Sicherheitskorrekturen vorhanden sind.

2. Sicherheitsupdates zeitnah durchführen

Für die aktuell bekannt gewordenen Sicherheitslücken stehen bereits korrigierte PHP-Versionen zur Verfügung.

Betroffene Systeme sollten dringend aktualisiert werden. Bei älteren PHP-Versionen, für die keine regulären Sicherheitsupdates mehr angeboten werden, ist besondere Vorsicht erforderlich.

Hier muss geprüft werden, ob ein nachweislich wirksamer Sicherheitspatch des Anbieters verfügbar ist oder eine Migration auf eine unterstützte PHP-Version erforderlich wird.

3. Bei älteren Webseiten nicht unvorbereitet aktualisieren

Ein PHP-Update kann dazu führen, dass ältere Webseiten oder einzelne Funktionen nicht mehr ordnungsgemäß arbeiten.

Deshalb sollten vor größeren Versionswechseln eine Datensicherung erstellt und die Webseite nach Möglichkeit in einer separaten Testumgebung überprüft werden.

Das Ziel ist, die Sicherheitslücke schnell zu schließen, ohne unnötige Ausfälle zu verursachen.

4. Zuständigkeiten klären

Viele Unternehmen wissen nicht genau, wer für die technische Wartung ihrer Webseite verantwortlich ist.

Ist es die Webagentur, der Hosting-Anbieter, ein externer IT-Dienstleister oder das Unternehmen selbst?

Diese Frage sollte eindeutig geklärt werden. Denn eine Webseite, die niemand aktiv betreut, kann über längere Zeit unbemerkt veraltete Software einsetzen.

5. Webseiten regelmäßig warten lassen

Die aktuellen Sicherheitslücken zeigen erneut, dass IT-Sicherheit nicht an der Bürotür endet.

Auch die eigene Webseite, Onlineshops, Buchungsportale und andere öffentlich erreichbare Anwendungen gehören zur IT-Infrastruktur eines Unternehmens.

Regelmäßige Updates, Datensicherungen und Sicherheitskontrollen sind deshalb ein wichtiger Bestandteil eines ganzheitlichen IT-Sicherheitskonzepts.

Welche PHP-Versionen sind aktuell sicher?

Die PHP-Entwickler haben am 21. Oktober 2026 Sicherheitsupdates für die unterstützten Versionszweige veröffentlicht.

Die folgenden Versionen enthalten die Korrekturen für die beiden aktuellen Sicherheitslücken:

PHP 8.1 und ältere Versionen erhalten vom offiziellen PHP-Projekt keine regulären Sicherheitsupdates mehr. Bei solchen Installationen sollte kurzfristig eine sichere Lösung gefunden werden.

Je nach Hosting-Anbieter oder Linux-Distribution können auch gesondert bereitgestellte Sicherheitskorrekturen relevant sein. Entscheidend ist, dass die betroffenen Schwachstellen nachweislich behoben wurden.

Unser Fazit: Nicht in Panik geraten, aber jetzt handeln

Die aktuellen PHP-Sicherheitslücken sind ernst zu nehmen. Besonders kritisch ist, dass ein erfolgreicher Angriff unter bestimmten Voraussetzungen ohne vorherige Anmeldung möglich sein kann.

Das bedeutet nicht, dass jede PHP-basierte Webseite bereits kompromittiert wurde oder zwangsläufig angegriffen werden kann.

Es bedeutet aber, dass Unternehmen ihre öffentlich erreichbaren Systeme jetzt überprüfen lassen sollten.

Wer frühzeitig handelt, reduziert das Risiko von Datenverlusten, Betriebsausfällen und finanziellen Schäden erheblich.

damm IT GmbH – Wir unterstützen Sie bei der Absicherung Ihrer IT

Sie wissen nicht, ob Ihre Unternehmenswebseite betroffen ist? Oder Sie sind unsicher, wer für die Sicherheitsupdates verantwortlich ist?

Die damm IT GmbH unterstützt Unternehmen bei der Einschätzung aktueller IT-Sicherheitsrisiken, der Überprüfung betroffener Systeme und der Planung notwendiger Schutzmaßnahmen.

Gemeinsam mit Ihnen und gegebenenfalls Ihrer Webagentur oder Ihrem Hosting-Anbieter klären wir, wo Handlungsbedarf besteht und welche Schritte sinnvoll sind.

Quelle: offizielle PHP-Sicherheitsmeldung.