Kritische PHP-Lücke: aktualisieren, dann statisch denken

Am 21. Oktober 2026 hat das PHP-Team ein Sicherheitsupdate veröffentlicht, das zwei kritische Lücken schließt. In den sozialen Netzwerken war zu lesen, „80% of the internet“ sei bedroht und Angreifer hätten alles „in 15 minutes“ verstanden. Die Realität ist etwas weniger spektakulär, aber dennoch ernst. Hier ist, was stimmt, was heute zu tun ist, und die Frage, die diese Warnung allen stellt, die eine WordPress- oder PrestaShop-Website betreiben.

Was behoben wurde

Die beiden Lücken tragen die Nummern CVE-2026-109618 und CVE-2026-109619. Das PHP-Team bewertet sie in seiner Ankündigung auf php.net mit 9,2 von 10. In beiden Fällen kann ein nicht angemeldeter Besucher den Server seinen eigenen Code ausführen lassen. Die erste beruht auf einer fehlerhaften Speicherverwaltung, wenn der Speicher knapp wird. Die zweite beruht auf Daten einer Anfrage, die im Speicher verbleiben und von der nächsten Anfrage wiederverwendet werden.

Alle Installationen, die Webseiten ausliefern, sind betroffen, unabhängig vom Betriebsmodus: PHP-FPM, Apache mit mod_php, LiteSpeed, FrankenPHP. Laut php.net ist mod_php am stärksten exponiert; dort wurde ein Angriff demonstriert, noch bevor der Code der Website ausgeführt wird.

Die Zahl „80% of the internet“ ist nach oben gerundet. PHP betreibt die große Mehrheit der Websites, deren Technologie bekannt ist, darunter fast alle WordPress-, PrestaShop-, Drupal- und Joomla-Websites. Die Bedrohung ist also breit, aber nicht universell.

Was heute zu tun ist

Aktualisieren Sie PHP. Die korrigierten Versionen sind 8.5.12, 8.4.27, 8.3.36 und 8.2.35. Wenn Ihr Hoster PHP für Sie verwaltet, prüfen Sie, ob er es getan hat, oder fordern Sie es schriftlich an.

Läuft Ihre Website noch auf PHP 8.1 oder älter, veröffentlicht das PHP-Projekt für diese Zweige keine Versionen mehr. Sein Team hat lediglich rohe Patches verbreitet, die Ihr Hoster selbst einspielen muss. Das ist das Signal, dass ein Versionswechsel nicht länger warten kann.

Bis zum Update schlägt php.net Einstellungen vor, die das Risiko verringern, etwa das Abschalten der Fortschrittsanzeige bei Datei-Uploads. Das PHP-Team sagt es selbst: Diese Einstellungen machen einen Server nicht sicher, das tut nur das Update.

Warum KI die Frist verkürzt

Ein Sicherheitsupdate zeigt genau, welche Zeilen sich geändert haben. Angreifer vergleichen die alte und die neue Version, um die Lücke wiederzufinden, und schreiben dann einen Angriff. Diese Arbeit dauerte Tage. Mit den heutigen Code-Assistenten kann sie einige Stunden dauern. Die „15 minutes“ aus dem Tweet sind eine Vorhersage, keine beobachtete Tatsache, aber der Trend ist real: Das Zeitfenster zwischen der Veröffentlichung eines Patches und den ersten Angriffen wird enger.

Für ein Unternehmen ändert das die Spielregeln. „Innerhalb der Woche“ zu aktualisieren reicht bei einer Lücke dieser Schwere nicht mehr. Sie müssen am selben Tag aktualisieren und brauchen daher jemanden, der überwacht, testet und ausrollt, auch am Wochenende.

Der eigentliche Vorteil einer statischen Website

Eine statische Website wird einmal im Voraus gebaut. Der Besucher erhält fertige Dateien: HTML, Bilder, etwas JavaScript. Beim Besuch läuft kein PHP, und es wird keine Datenbank abgefragt. Eine Lücke wie diese hat schlicht nichts, was sie angreifen könnte.

Das ist der am meisten unterschätzte Vorteil statischer Websites. Man spricht vor allem von der Geschwindigkeit, aber sie verringern auch die Abhängigkeit von einer bestimmten Technologie. Ihre Website hängt nicht mehr von der PHP-Version ab, nicht von der WordPress-Version und nicht von dreißig Erweiterungen, die alle gleichzeitig aktuell sein müssen. Weniger Teile bedeuten weniger Notfälle wie den heutigen.

Was eine statische Website nicht löst

Seien wir ehrlich: Eine statische Website beseitigt nicht die gesamte Sicherheitsarbeit.

• Formulare brauchen weiterhin einen kleinen Dienst, der die Einsendungen entgegennimmt. Er muss geschützt werden, ist aber winzig im Vergleich zu einem ganzen WordPress.
• Das Backoffice existiert weiterhin, wenn Sie ein Redaktionswerkzeug wie ein Headless-CMS verwenden. Es lebt getrennt, bei einem Anbieter, der es pflegt, und nicht auf dem Server Ihrer öffentlichen Website.
• Die APIs für Zahlung, Reservierung oder Katalog bleiben Software, die aktualisiert werden muss.
• Ein vollständiger Onlineshop mit Warenkorb und Kundenkonten wird nicht auf einen Schlag statisch. Die Produktseiten und Inhalte können es werden, die Zahlung läuft über einen spezialisierten Dienst.

Der Unterschied ist, dass die exponierte Fläche klein und klar abgegrenzt wird. Statt eines ganzen Servers überwachen Sie zwei oder drei genau bestimmte Bausteine.

Der richtige Moment für die Frage

Wenn Sie diese Warnung dazu gebracht hat, eilig Ihre PHP-Version zu prüfen, stellen Sie sich eine einfache Frage: Muss Ihre Website wirklich bei jedem Besuch Code ausführen? Für eine Unternehmenswebsite, einen Blog oder einen Katalog lautet die Antwort fast immer nein.

Aktualisieren Sie zuerst heute. Wenn Sie danach aus diesem Kreislauf der Warnungen aussteigen möchten, behält unsere Migration auf eine statische Website alle Ihre Adressen und Ihre Suchmaschinenplatzierung bei und stellt die Website auf ein Hosting, das kein PHP ausführt. Um zu verstehen, was passiert, wenn das Update zu spät kommt, lesen Sie auch, was zu tun ist, wenn eine WordPress-Website gehackt wurde.