IT-Sicherheit · Sicherheitshinweis

PHP-Sicherheitsupdates: Warum Websitebetreiber den Server prüfen müssen

Zwei kritische Sicherheitslücken betreffen die PHP-Laufzeit. Ein Update der Website allein reicht nicht aus.

Julia Grüner27. Oktober 20261 Min. Lesezeit

Geltungsbereich: PHP-basierte Webserver; genaue Betroffenheit anhand Installation und Herstellerpaket prüfen.
Betroffene Produkte / Versionen: PHP-Laufzeit; korrigierte Versionsstände laut importierter Vorlage: 8.2.35, 8.3.36, 8.4.27, 8.5.12. Quellenabgleich am 27.10.2026 erfolgt; Hersteller-Backports können abweichende Versionsnummern tragen.
Voraussetzungen: Ungepatchte PHP-Laufzeit mit betroffener Konfiguration. Für den zusätzlichen Angriffsweg nennt das PHP-Projekt besondere Änderungen der Session-Serialisierung; Hersteller-Backports und Zusatzhinweise beachten.
Bekannte Korrektur: Sicherheitsstand des PHP-Serverpakets einschließlich ergänzender Hinweise beim Hoster bestätigen.
Empfohlener nächster Schritt: Lassen Sie sich vom Hostinganbieter den eingespielten Sicherheitsstand bestätigen. Prüfen Sie danach Formulare und Uploads. Für die Kundenkommunikation gilt: Betroffenheit anhand der eingesetzten Technik feststellen und keine pauschale Warnung für sämtliche Websites verbreiten.

Was die Meldung beschreibt

Das PHP-Projekt hat am 21. Oktober Updates gegen zwei kritische Sicherheitslücken veröffentlicht. Angreifer können unter bestimmten Bedingungen ohne Anmeldung Code auf einem betroffenen Webserver ausführen. WordPress weist darauf hin, dass die Fehler in PHP liegen und auch andere PHP-Anwendungen betreffen. Ein Update von WordPress, einem Theme oder einzelnen Plugins beseitigt diese Schwachstellen daher nicht.

Die korrigierten Versionen sind PHP 8.2.35, 8.3.36, 8.4.27 und 8.5.12. Herstellerpakete mit zurückportierten Korrekturen können andere Versionsnummern tragen. Am 23. Oktober folgte außerdem ein Hinweis auf einen seltenen weiteren Angriffsweg bei besonderen Einstellungen der Sitzungsverarbeitung. Der Hoster sollte auch diesen Zusatzhinweis berücksichtigen.

Was Unternehmen jetzt prüfen sollten

Lassen Sie sich vom Hostinganbieter den eingespielten Sicherheitsstand bestätigen. Prüfen Sie danach Formulare und Uploads. Für die Kundenkommunikation gilt: Betroffenheit anhand der eingesetzten Technik feststellen und keine pauschale Warnung für sämtliche Websites verbreiten.

Einordnung für Ihre Website und IT

Entscheidend sind die tatsächlich eingesetzten Produkte, Konfigurationen und Bereitstellungsvoraussetzungen. Eine Herstellerankündigung ersetzt weder die Prüfung Ihrer Umgebung noch einen kontrollierten Test. Halten Sie Änderungen und Prüfergebnisse nachvollziehbar fest.