Ihre PHP-Website ist angreifbar.
Ich spiele das Update ein.
Zwei Lücken in PHP selbst („php2shell“) erlauben es Fremden, ohne Login eigenen Code auf Ihrem Server auszuführen. Der Fehler steckt nicht in Ihren Plugins oder Ihrem Code, sondern im Server. Ein Plugin-Update hilft deshalb nicht. Betroffen sind WordPress, WooCommerce, Shopware, Magento, Drupal, Laravel, Symfony und Eigenentwicklungen. Ich prüfe Ihre Server, sichere sie sofort ab und aktualisiere PHP, ohne dass Ihre Anwendung ausfällt.
Sie schreiben mir, ich melde mich am selben Werktag. Preis und Aufwand klären wir, bevor ich etwas anfasse.
Das Wichtigste in einer Minute
Was ist passiert?
Am 21. Oktober 2026 hat das PHP-Team zwei kritische Lücken geschlossen: CVE-2026-109618 und CVE-2026-109619. Ein Angreifer braucht kein Passwort. Eine präparierte Anfrage an Ihre Website reicht.
Wie ernst ist es?
Die Details sind vorzeitig durchgesickert, Sicherheitsfirmen und Cloudflare melden bereits erste Angriffe. Und seit der Patch öffentlich ist, können Angreifer alten und neuen PHP-Code vergleichen und gezielt nachbauen, was repariert wurde. Wer jetzt wartet, ist das leichteste Ziel.
Warum schützt mein Code nicht?
Der verwundbare Teil von PHP verarbeitet eine Anfrage, bevor Ihre Anwendung überhaupt startet. Beteiligt ist unter anderem eine Upload-Funktion, die seit Jahren standardmäßig eingeschaltet ist. Sauberer Code oder ein Sicherheits-Plugin ändern daran nichts. Das Update muss auf dem Server passieren.
Wer ist betroffen?
Laut PHP-Team jede Installation, die Webanfragen bedient: PHP-FPM, Apache mod_php, php-cgi, FrankenPHP und LiteSpeed. Verwundbar ist Code ab PHP 5.4 bis zur aktuellen Version 8.5. PHP läuft auf rund 69 % aller Websites mit bekannter Serversprache. Forscher schätzen über 1,3 Millionen angreifbare Server im Netz.
Was hilft?
Nur das Update auf eine gepatchte PHP-Version. Einstellungen in der php.ini senken das Risiko, machen den Server laut PHP-Team aber nicht sicher.
Bin ich betroffen?
Ja, wenn Ihre PHP-Version unter der sicheren Version in dieser Tabelle liegt. Ihre Version zeigt der Befehl php -v auf dem Server oder die Übersicht Ihres Hosters. Sie wissen es nicht? Dann finde ich es für Sie heraus.
Nutzen Sie PHP-Pakete Ihrer Linux-Distribution (Debian, Ubuntu, RHEL), gelten deren eigene Versionsnummern. Die Distributionen haben die Patches vorab bekommen.
Mein Angebot: Das PHP-Notfall-Update
Ich bin freiberuflicher Fullstack-Entwickler aus Hamburg und arbeite seit über 10 Jahren mit PHP und Laravel im Produktivbetrieb. Kein Ticket-System, keine Agentur dazwischen: Sie sprechen direkt mit dem, der Ihren Server anfasst. Ich übernehme das Update komplett, remote oder vor Ort, auf Ihrem eigenen Server, Ihrem Managed Server oder im Kubernetes-Cluster.
- 1
Bestandsaufnahme
Ich finde alle PHP-Installationen auf Ihren Servern, auch vergessene Staging-Systeme, und prüfe Version und Betriebsart.
- 2
Sofortschutz
Noch vor dem Update setze ich die vom PHP-Team empfohlenen Schutzeinstellungen und, wenn vorhanden, WAF-Regeln.
- 3
Update ohne Ausfall
Ich aktualisiere PHP auf die gepatchte Version und teste Ihre Anwendung danach: Login, Checkout, Formulare, Cronjobs.
- 4
Einbruchs-Check
Ich suche nach Spuren eines Angriffs: fremde Dateien im Webroot, neue Cronjobs, neue Benutzerkonten, auffällige Prozesse.
- 5
Kurzer Bericht
Sie bekommen schriftlich, was ich gefunden und geändert habe. Für Ihre Unterlagen, Ihre IT-Versicherung oder den Datenschutz.
Alte PHP-Version? Für PHP 7 und PHP 8.0 / 8.1 gibt es kein offizielles Update mehr. Das lange verschobene Upgrade wird jetzt zum Sicherheitsproblem. Ich bringe Ihre Anwendung auf eine unterstützte PHP-8-Version und schütze sie bis dahin übergangsweise ab.
Agentur mit vielen Kundensites? Ich übernehme das Update auch für ganze Kundenbestände und stimme mich direkt mit dem jeweiligen Hoster ab.
Sie wollen selbst ran? Ihre Checkliste für heute.
Fünf Schritte, mit denen Sie heute noch Klarheit bekommen. Wenn Ihnen dafür die Zeit fehlt, arbeite ich die Liste für Sie ab.
- 1
Alle PHP-Anwendungen auflisten
Auch die alte Kampagnenseite, das interne Tool und das Staging-System, an das niemand mehr denkt. Angreifer finden sie trotzdem.
- 2
Version jeder Anwendung prüfen
Mit der Tabelle oben sehen Sie sofort, ob ein Update reicht oder ein Upgrade nötig ist.
- 3
Backup ziehen, dann patchen
Dateien und Datenbank sichern und das Update zeitnah einspielen. Nicht auf den nächsten Sprint oder das nächste Quartal warten.
- 4
Beim Hoster nachfragen
Fragen Sie konkret, ob die gepatchten PHP-Pakete auf Ihrem Server laufen, und lassen Sie sich die Version bestätigen.
- 5
PHP 7 und älter: upgraden oder vom Netz nehmen
Dafür kommt kein offizielles Update. Bis zum Upgrade gehört die Anwendung hinter VPN oder Zugangsschutz.
Sie können heute nicht updaten? Das hilft sofort.
Diese Einstellungen empfiehlt das PHP-Team als Übergangslösung. Danach alle PHP-Prozesse neu starten. Sie senken das Risiko, ersetzen aber nicht das Update.
session.upload_progress.enabled = 0In der php.ini oder im FPM-Pool setzen, nicht per ini_set(). Blockiert die bekannten Angriffswege der Lücke CVE-2026-109619.
memory_limit = -1Per php_admin_value festlegen, damit Anwendungen den Wert nicht überschreiben. Entschärft CVE-2026-109618. Ein Container- oder cgroup-Limit begrenzt dann den Speicher.
post_max_size = 8M32M, wenn Uploads nötig sind. upload_max_filesize muss darunter bleiben.
fatal_error_backtraces = 0Nur unter PHP 8.5 nötig.
Quelle: Sicherheitshinweis des PHP-Teams vom 21. Oktober 2026.
Jede Stunde ohne Update ist eine offene Tür.
Schreiben Sie mir Ihre PHP-Version und wo Ihre Website läuft. Die E-Mail ist schon vorbereitet, Sie müssen nur ergänzen.