PHP veröffentlicht Notfallupdates: Was Websitebetreiber beim Hoster prüfen sollten

PHP hat am 21. Oktober Sicherheitsupdates für zwei kritische Schwachstellen veröffentlicht. Nach Angaben des Projekts können sie eine Codeausführung aus der Ferne ohne Authentifizierung ermöglichen. Websitebetreiber müssen jetzt klären, ob die PHP-Laufzeitumgebung ihrer Website die Korrekturen bereits enthält.

Die korrigierten Upstream-Versionen heißen 8.5.12, 8.4.27, 8.3.36 und 8.2.35. Ihre Veröffentlichung belegt noch keine Installation beim Hoster. Auch eine verwaltete WordPress-Website kann von einem Serverupdate abhängen, das sich nicht im eigenen Dashboard durchführen lässt.

Die Korrektur betrifft das Hosting

Die Sicherheitsmeldungen des PHP-Projekts nennen CVE-2026-109618 und CVE-2026-109619. Das Projekt stuft Installationen, die Webanfragen verarbeiten, als gefährdet ein und bezeichnet ein Update als einzige vollständige Lösung. In der Vorankündigung wurden beide Lücken mit 9,2 nach CVSS v4.0 bewertet.

Betroffen ist die PHP-Ebene, nicht ausschließlich ein bestimmtes CMS oder Plugin. Ein Update von WordPress, Theme oder Backup-Plugin weist deshalb nicht nach, dass die zugrunde liegende Laufzeitumgebung repariert wurde. Ebenso wenig belegt die Warnung eine Kompromittierung jeder gefährdeten Website.

Fragen Sie den Hoster, welcher PHP-Build die Webanfragen Ihrer Website verarbeitet und ob er beide Korrekturen enthält. Ein angekündigtes Wartungsfenster ist noch keine Bestätigung für einen bereits gepatchten Dienst.

Versionsnummern richtig einordnen

Die Upstream-Versionen bieten einen ersten Anhaltspunkt. Manche Distributionen und Anbieter mit Langzeitunterstützung übernehmen Sicherheitskorrekturen in ältere Pakete, ohne die entsprechende neue Upstream-Versionsnummer zu verwenden. Lassen Sie sich dann die Herstellerwarnung oder den Paketnachweis für beide Lücken nennen.

PHP 8.1 und ältere Zweige erhalten keine regulären Sicherheitsupdates des Projekts mehr. Außergewöhnliche Quellcode-Backports für alte Zweige bedeuten keine Wiederaufnahme des normalen Supports. Wer solche Versionen nutzt, braucht Klarheit über die verfügbare Korrektur und einen Migrationsplan.

Bei WordPress steht die gemeldete PHP-Version unter Werkzeuge → Website-Zustand → Bericht → Server. Gerade bei zurückportierten Hersteller-Patches ist diese Anzeige ein Ausgangspunkt für die Nachfrage beim Hoster.

Reparatur bestätigen und Website prüfen

Die Bestätigung sollte ausdrücklich die laufende Web-Laufzeitumgebung betreffen, nicht nur eine separate Kommandozeileninstallation oder ein heruntergeladenes Paket. Prüfen Sie nach der Wartung typische Seiten sowie Anmeldung und Veröffentlichung. Der Leitfaden für Updates und Rollback hilft bei der Vorbereitung der Wiederherstellung.

PHP warnt, dass Teilmaßnahmen eine Installation nicht sicher machen. Eine WAF-Regel oder Konfigurationsänderung sollte daher nicht als gleichwertiger Ersatz für die Korrektur gelten. Das Update beweist auch nicht, dass zuvor kein Angriff erfolgreich war. Verdächtige Vorgänge müssen gegebenenfalls gesondert untersucht werden.