Am 20. Oktober 2026 hat das europäische Cybersicherheits-Team CERT-EU vor zwei kritischen Sicherheitslücken in PHP gewarnt. Einen Tag später folgten die korrigierten Versionen. PHP läuft hinter einem Großteil aller Websites, auch hinter WordPress. Für Unternehmen mit eigener Website, Online-Shop oder Kundenportal ist das keine Randnotiz.
Was bekannt ist
Die beiden Lücken tragen die Kennungen CVE-2026-109618 und CVE-2026-109619 und sind mit 9,2 von 10 Punkten bewertet. Nach Angaben von CERT-EU und CERT.at könnten Angreifer ohne Anmeldung Programmcode auf einem Server ausführen. Betroffen sind alle PHP-Installationen, die Webanfragen verarbeiten, also auch gängige Hosting-Umgebungen.
Behoben sind die Lücken in den Versionen 8.5.12, 8.4.27, 8.3.36 und 8.2.35. PHP 8.1 und ältere Versionen bekommen keine regulären Updates mehr, PHP 8.2 erreicht Ende 2026 sein Support-Ende. Aktive Angriffe sind nach Angaben des PHP-Projekts bisher nicht bekannt, erste Demonstrationen kursieren aber laut CERT-EU. Wer nicht sofort patchen kann, soll seine Anwendungen vom öffentlichen Netz trennen.
Was daran lehrreich ist
Der Angriff soll mit einer einzelnen Anfrage gelingen, bevor Ihr Anwendungscode überhaupt läuft. Starke Passwörter und sichere Plugins helfen dagegen nicht. Es zählt, wie schnell Sie wissen, was läuft, und wie schnell Sie patchen.
Zwei Fragen sind schwerer zu beantworten, als man denkt: Welche PHP-Version nutzt jedes Ihrer Systeme? Und hat der Hoster den Patch schon eingespielt? In den Hosting-Oberflächen, die wir gesehen haben, steht nur die Hauptversion, etwa „8.3“. Ob die gepatchte Unterversion läuft, sieht man dort nicht.
Dazu kommt: Ein Update ist kein Selbstläufer. Bei einer Umstellung auf eine neuere PHP-Version fehlte in unserem Fall eine Datenbank-Erweiterung, die Seite lieferte Fehlerseiten, bis wir sie nachgetragen hatten. Wer patcht, braucht deshalb Sicherung, Test und einen Rückweg.
Unsere Empfehlung
1. Cyber Security als Daueraufgabe verstehen. Sicherheit ist kein Projekt, das einmal abgeschlossen wird. Dazu gehören ein aktuelles Inventar aller Systeme und Versionen, ein fester Prozess fürs Patchen, Überwachung und Sicherungen mit getestetem Rückweg.
2. Sensible Daten in geschlossenen KI-Systemen verarbeiten. Wenn KI mit Kundendaten, Verträgen oder internen Dokumenten arbeitet, sollte sie in Ihrer eigenen Umgebung laufen und nicht über einen externen Cloud-Dienst. Dann verlassen die Daten Ihre Infrastruktur nicht, die Angriffsfläche ist kleiner und die Verantwortung klar. Geschlossen heißt allerdings nicht automatisch sicher: Auch ein geschlossenes System läuft auf Software, die Lücken haben kann. Es braucht dieselbe Patch-Disziplin.
3. Einen eigenen Schutz mit individuell programmierten, KI-gestützten Security-Systemen dauerhaft betreiben. Gemeint sind Systeme, die auf Ihre Umgebung zugeschnitten sind. Sie vergleichen die laufenden Versionen mit veröffentlichten Warnungen, lesen Protokolle auf Auffälligkeiten, melden und priorisieren. Individuell programmiert, weil Standardprodukte Ihre Plugins, Ihre Abläufe und Ihre Logformate nicht kennen. Dauerhaft, weil Lücken an jedem beliebigen Tag bekannt werden und Angreifer nicht auf Ihren nächsten Wartungstermin warten.
Das hat Grenzen, die wir offen nennen. Ein solches System ersetzt das Patchen nicht, es beschleunigt das Erkennen und Entscheiden. Es kann Fehlalarme erzeugen, und es braucht Pflege. Eingriffe in Ihre Systeme sollte weiterhin ein Mensch freigeben. Bei uns teilen sich diese Arbeit zwei Rollen: Prototyper bauen die Lösung, Maintainer betreiben und warten sie. Das ist unsere fachliche Empfehlung, kein Garantieversprechen.
Was Sie jetzt tun können
Prüfen Sie heute, welche PHP-Version Ihre Website nutzt, und fragen Sie Ihren Hoster, ob die Korrektur schon eingespielt ist. Sichern Sie vor jeder Umstellung und testen Sie danach nicht nur die Startseite, sondern auch Login, Formulare und Schnittstellen. Wenn Sie wissen möchten, wie ein dauerhaft laufender, auf Ihre Umgebung zugeschnittener Schutz aussehen kann, sprechen Sie uns an: office@pany.cc.
Quellen: CERT-EU Security Advisory 2026-018, CERT.at Warnung vom Oktober 2026, PHP-Changelog.