Wenn Ihre Website mit PHP arbeitet, sollten Sie jetzt mit Ihrem Hosting- oder Betreuungspartner klären, ob die aktuellen Sicherheitskorrekturen installiert sind. Ein aktuelles CMS allein beantwortet diese Frage noch nicht: Auch die technische Grundlage auf dem Server muss gepflegt werden.

Stand: 21. Oktober 2026. Das PHP-Team hat Updates gegen zwei kritische Sicherheitslücken veröffentlicht. Diese können unter bestimmten Bedingungen die Ausführung fremden Codes ohne Anmeldung ermöglichen. Die Details und Empfehlungen stehen in der offiziellen PHP-Sicherheitsmeldung.

Was hat PHP mit Ihrer Website zu tun?

PHP verarbeitet auf vielen Webservern die Anfragen an Websites und Anwendungen. WordPress ist ein bekanntes Beispiel für ein System, das PHP nutzt. Für Unternehmen lohnt sich deshalb der Blick auf zwei Ebenen: auf das CMS mit seinen Erweiterungen und auf die Laufzeitumgebung beim Hosting-Anbieter.

Für die aktuelle Meldung ist die serverseitige PHP-Installation entscheidend. Eine normal erreichbare Website ist kein Nachweis dafür, dass die Sicherheitskorrekturen bereits eingespielt wurden.

Welche Updates wurden veröffentlicht?

Die Korrekturen sind in PHP 8.2.35, 8.3.36, 8.4.27 und 8.5.12 enthalten. Die Schwachstellen tragen die Kennungen CVE-2026-109618 und CVE-2026-109619. Bei Hosting-Systemen mit vom Anbieter zurückübertragenen Sicherheitskorrekturen kann die sichtbare Versionsnummer abweichen. Lassen Sie sich deshalb den Patch-Status bestätigen, statt allein die Versionsanzeige zu beurteilen.

Laut PHP-Team ersetzt eine vorübergehende Schutzmassnahme das Update nicht vollständig. Für ältere PHP-Reihen muss der Anbieter klären, ob passende Sicherheitskorrekturen vorliegen oder ein Wechsel auf eine unterstützte Version nötig ist. Die unterstützten PHP-Versionen sind hier aufgeführt.

So gehen Sie als Website-Verantwortliche vor

  1. Zuständigkeit klären. Fragen Sie Ihren Hosting-Anbieter oder technischen Betreuungspartner, welche PHP-Umgebung Ihre Website verwendet und wer deren Aktualisierung übernimmt.
  2. Patch-Status bestätigen lassen. Beziehen Sie sich auf die beiden CVE-Kennungen. Fragen Sie bei mehreren Websites auch nach weiteren Installationen, Subdomains und noch erreichbaren Testsystemen.
  3. Update abstimmen. Vor Änderungen sollten ein aktuelles Backup und ein Wiederherstellungsweg vorhanden sein. Ein Wechsel auf eine andere PHP-Haupt- oder Nebenversion benötigt zusätzlich eine Prüfung der Kompatibilität.
  4. Wichtige Funktionen testen. Kontrollieren Sie nach dem Update insbesondere Formulare, Anmeldung, Suche, Shop und angebundene Systeme. Eine sichtbare Startseite allein genügt als Funktionstest nicht.
  5. Ergebnis dokumentieren. Halten Sie fest, wer das Update bestätigt hat, wann die Prüfung erfolgte und ob noch Aufgaben offen sind.

Diese Anfrage können Sie Ihrem Hosting-Partner schicken

Bitte bestätigen Sie uns, ob die PHP-Installation unserer Website gegen CVE-2026-109618 und CVE-2026-109619 aktualisiert wurde. Welche PHP-Version beziehungsweise welches korrigierte Anbieterpaket ist aktiv? Sind von unserer Seite weitere Schritte erforderlich?

Updates und laufende Wartung gehören zusammen

Die Meldung zeigt, weshalb technische Betreuung über die Pflege sichtbarer Inhalte hinausgeht. Klare Zuständigkeiten, dokumentierte Änderungen und regelmässige Funktionstests erleichtern es, auf Sicherheitsmeldungen zu reagieren.

Auch der Umfang eines Wartungsvertrags sollte eindeutig sein: Welche Aufgaben übernimmt die Agentur, welche liegen beim Hosting-Anbieter und wie werden notwendige Änderungen abgestimmt? Diese Fragen lassen sich am besten vor dem nächsten dringenden Update klären.

Wir unterstützen Sie bei der Klärung

Sie sind unsicher, wer Ihre PHP-Umgebung betreut oder ob Handlungsbedarf besteht? Wir unterstützen Sie bei der technischen Einordnung und stimmen die nächsten Schritte mit Ihnen ab. Mehr zu unserer Wartung und Website-Betreuung oder eine technische Anfrage stellen.

Technische Quellen: PHP-Sicherheitsmeldung vom 21. Oktober 2026 und PHP-Versionssupport. Dieser Beitrag erklärt die Meldung; er bestätigt keinen Update-Status einzelner Kundeninstallationen.