PHP-Sicherheitslücken: dringender Handlungsbedarf!
Heute, am 21. Oktober 2026, wurden zwei kritische Sicherheitslücken in PHP veröffentlicht. PHP ist die technische Grundlage von WordPress und zahlreichen anderen Systemen wie Joomla, TYPO3 und Shopware. Es handelt sich also nicht um ein WordPress-spezifisches Problem.
Bei Managed-Hosting-Angeboten werden Sicherheitsupdates innerhalb einer PHP-Versionsreihe meist vom Hoster eingespielt. Der Wechsel auf eine neuere PHP-Versionsreihe muss aber in der Regel vom Kunden selbst veranlasst werden.
Sicherheitsupdates stehen für PHP 8.2 bis 8.5 bereit. Die abgesicherten Versionen sind PHP 8.2.35, 8.3.36, 8.4.27 und 8.5.12.
Für PHP 8.1 und älter gibt es keine regulären Sicherheitsupdates mehr. Betroffene Websites sollten schnellstmöglich auf eine unterstützte Version umgestellt werden.
Für WordPress empfehlen wir aktuell PHP 8.3 oder 8.4 in der jeweils neuesten Version. Vor einem Versionswechsel muss allerdings die Kompatibilität der gesamten Website einschließlich Themes, Plugins und weiterer Komponenten geprüft werden.
Wer ältere PHP-Versionen mit kostenpflichtigem Extended Support nutzt, sollte beim Hoster klären, ob die Sicherheitslücken durch spezielle Updates geschlossen werden.
Technischer Hintergrund: Die Schwachstellen CVE-2026-109618 und CVE-2026-109619 betreffen die interne Speicher- und Zustandsverwaltung von PHP. Sie können Angreifern ermöglichen, ohne Anmeldung Schadcode auf betroffenen Servern auszuführen.
Weitere Informationen: offizielle Sicherheitsmeldung der PHP-Entwickler
David Damjanovic betreibt seit 2004 eigene Websites, arbeitet seit 2006 mit WordPress und hat 2011 die WordPress Agentur wp-agentur gegründet, eine der ersten in D-A-CH.
