Von Mats Heidler · Aktualisiert am 22.10.2026 · 8 Min. Lesezeit

Sicherheitslücke in PHP: Was das für die Website eures Betriebs heißt

Stand: 22. Oktober 2026, 21:05 Uhr

Was ist passiert?

Am 21. Oktober 2026 haben die Entwickler von PHP zwei schwere Sicherheitslücken bekannt gegeben und gleichzeitig ein Update veröffentlicht. PHP ist eine Programmiersprache, auf der knapp 70 Prozent der Websites laufen, deren Server-Technik sich erkennen lässt (W3Techs, Oktober 2026), darunter jede WordPress-Website. Über die Lücke könnten Angreifer im schlimmsten Fall die Kontrolle über den Server übernehmen, auf dem eine Website liegt. Das BSI, die Cybersicherheitsbehörde des Bundes, hat deshalb eine Warnung herausgegeben. Einige Behörden und die Berliner Charité haben ihre Websites vorsorglich vom Netz genommen.

Zur Einordnung: Ob die Lücke schon erfolgreich für Angriffe genutzt wurde, ist noch nicht bestätigt. Das ist kein Grund zur Panik, aber einer, es diese Woche zu klären.

Mehr dazu: BSI-Warnung · Bericht bei heise online

Wie prüft ihr, ob eure Website von der PHP-Sicherheitslücke betroffen ist?

Viele Websites im Handwerk laufen auf PHP. Entscheidend ist, ob das Update schon eingespielt ist. Typisch im Handwerk:

Wichtig: Ein WordPress-Update hilft hier nicht, die Lücke steckt in PHP, also eine Ebene darunter.

Und was ist mit Router, Firewall, NAS und Website-Systemen?

Auch manche Geräte im Büro und viele Website-Systeme laufen auf PHP. Was die Hersteller bisher sagen:

Stand: 22. Oktober 2026, 21:05 Uhr. Wir nennen nur, was Hersteller und staatliche Stellen (BSI, CERT-EU, NCSC-NL) selbst veröffentlicht haben, verlinkt auf die jeweilige Quelle. Die Lage ändert sich laufend. Die Übersicht ist eine Hilfestellung, sie ist nicht vollständig, und wir können Richtigkeit und Aktualität nicht garantieren. Sie ersetzt nicht die Prüfung eurer konkreten Installation. Maßgeblich ist immer die aktuelle Sicherheitsmeldung eures Herstellers.

Betroffen, laut Hersteller:

• NAS-Speicher: Synology (einige Zusatzpakete, Updates gibt es) und QNAP (Update angekündigt). Wer so ein Gerät hat: im Gerät nach Updates sehen.
• Firewalls: pfSense und OPNsense (Updates gibt es), Palo Alto (nur die Verwaltungsoberfläche, noch kein Update).

Läuft auf PHP, betroffen solange der Server nicht aktualisiert ist: WordPress, WooCommerce, TYPO3, Drupal, Joomla, Contao, Shopware, JTL-Shop und viele mehr. Hier hilft kein Update der Website selbst, sondern nur das PHP-Update auf dem Server.

Nicht betroffen, laut Hersteller: Firewalls von Sophos, LANCOM (Rohde & Schwarz) und Fortinet (FortiGate).

Hoster, die „gepatcht“ melden: u. a. IONOS, Hetzner Webhosting und Managed Server, Mittwald, domainfactory, Strato, All-Inkl und WordPress.com.

Noch keine Aussage gefunden: AVM (FRITZ!Box). Das heißt weder „betroffen“ noch „sicher“. Automatische Updates eingeschaltet lassen schadet nie.

Was ihr jetzt tun solltet

1. Herausfinden, wer eure Website betreut. Steht meist in der Rechnung für Hosting oder Website, oder ihr fragt den, der sie damals gebaut hat.
2. Kurz nachfragen. Diese Mail reicht:

   „Hallo, wegen der PHP-Sicherheitslücke vom 21.10. (PHP2Shell, CVE-2026-109618): Ist das PHP-Update auf unserer Website bzw. unserem Server schon eingespielt? Danke für eine kurze Bestätigung.“

3. Bei großen Hostern steht der Stand meist auf der Statusseite oder im Kundenbereich.
4. Wenn keiner zuständig ist oder ihr keine klare Antwort bekommt: meldet euch bei uns (unten).
5. In den nächsten Wochen aufmerksam sein: Seltsame neue Benutzer im WordPress-Admin, Seiten, die auf fremde Seiten umleiten, oder eine Warnung vom Hoster sind Warnsignale, die ihr klären lassen solltet. Steckt ein Einbruch dahinter, reicht ein Update allein nicht.

Warum KI hier mitspielt

Der Fehler steckte über zehn Jahre unbemerkt in PHP. Gefunden haben ihn Sicherheitsforscher mit Hilfe von KI. Das passiert inzwischen öfter: KI hilft, alte Fehler in viel genutzter Software aufzuspüren. Das ist gut, denn so werden sie behoben. Aber auch Angreifer nutzen KI, zum Beispiel um Updates schneller auszuwerten und daraus Angriffe zu bauen. Das BSI rechnet deshalb damit, dass zwischen einem Update und den ersten Angriffen immer weniger Zeit liegt. Bei dieser Lücke gab es bisher Angriffsversuche, aber laut BSI keine Ausnutzung in der Breite.

Unsere Einschätzung: Kein Grund zur Panik, aber Updates sollten nicht mehr wochenlang liegen bleiben.

Für die Zukunft: Updates nicht dem Zufall überlassen

Solche Lücken wird es wieder geben, bei PHP, bei Routern, bei Programmen im Büro. Die gute Nachricht: Wer ein paar Dinge geregelt hat, muss beim nächsten Mal nicht hektisch werden.

• Aufschreiben, was ihr habt: Website, Shop, Router, WLAN, Server oder NAS im Büro, Handwerkersoftware, Kundenportal. Dazu, wer sich jeweils darum kümmert.
• Updates klären: Für jedes Gerät und jedes Programm muss jemand zuständig sein, ihr selbst, der Hoster oder euer IT-Dienstleister. Viele Geräte können Updates automatisch einspielen, das solltet ihr einschalten.
• Wartungsvertrag prüfen: Wenn ein Dienstleister eure Website oder eure IT betreut, sollte im Vertrag stehen, dass Sicherheitsupdates dazugehören und wie schnell kritische Lücken geschlossen werden. Fragt ruhig nach, ob das bei euch so geregelt ist.
• Überwachen lassen: Ein Dienstleister kann eure Website und Geräte so überwachen, dass er veraltete Versionen und Auffälligkeiten früh bemerkt.

Das BSI hat dazu leicht verständliche Hinweise für kleine Unternehmen.

Was wir selbst gemacht haben

Auch wir betreiben Systeme auf PHP, für uns und für unsere Kunden. Wir haben sie innerhalb kürzester Zeit erst gehärtet und dann gepatcht. Danach haben wir geprüft, ob vorher jemand eingedrungen ist, und keine Hinweise gefunden.

Für die Anwendungen, die wir für Betriebe bauen oder betreuen, bekommen wir neue Sicherheitsmeldungen automatisch und können deshalb früh reagieren, nicht erst, wenn jemand nachfragt.

Unsicher? Wir schauen nach

Wenn ihr nicht wisst, wer eure Website betreut, keine Antwort bekommt oder eine eigene Anwendung habt: Wir prüfen, ob eure Website, euer Shop oder eure Webanwendung betroffen ist, und beheben es, wenn nötig: Update einspielen, absichern, auf Spuren eines Einbruchs prüfen.

Wer tiefer einsteigen will, etwa mit eigenem Server oder als Unternehmen mit mehreren Anwendungen: Unsere Schwestermarke materium software bietet IT-Sicherheit von Sicherheitskonzept bis Penetrationstest an. Beide gehören zur Materium Software GmbH.

Häufige Fragen