PHP-Sicherheitslücke: Was Website-Betreiber jetzt wissen müssen

✅ KINSTA Update 22. Oktober 2026, 10:30 Uhr: Entwarnung (siehe Details unten)

✅ Internex Update 23. Oktober 2026, 10:30 Uhr: Entwarnung (siehe Details unten)

Die Arbeiten wurden abgeschlossen! Die PHP-Versionen 7.4 und höher wurden erfolgreich aktualisiert.

Bei allen abgesicherten Versionen wurden die temporären Mitigationsmaßnahmen wieder aufgehoben. Alle von uns betreuten Server befinden sich wieder im Normalbetrieb.

🔨 Internex Update 22. Oktober 2026, 10:30 Uhr: in Arbeit 

Internex hat sofort reagiert und auf allen Servern Schutzmaßnahmen umgesetzt, die eine Ausnutzung der PHP-Lücke deutlich erschweren. Zusätzlich filtern Cloudflare-Schutzregeln Angriffsversuche heraus, bevor sie den Server erreichen.

Das dauerhafte PHP-Update ist bei Internex noch in Arbeit. Wir stimmen uns laufend direkt mit dem Team von Internex ab und heben betroffene Websites wo nötig auf eine aktuelle PHP-Version. Sobald das Update abgeschlossen ist, ergänzen wir diesen Beitrag. Die betroffenen Kundinnen und Kunden informieren wir persönlich.

Hinweis zur Erreichbarkeit: Die verschärften Schutzregeln können in Einzelfällen dazu führen, dass eine Website aus bestimmten Firmennetzen oder Regionen vorübergehend nicht oder nur eingeschränkt erreichbar ist. Das betrifft etwa automatische Monitoring-Systeme oder Zugriffe aus dem Ausland. Ist das bei Ihnen der Fall, melden Sie sich bitte kurz bei uns. Wir geben die betroffenen Zugänge dann gezielt frei.

✅ KINSTA Update 22. Oktober 2026, 10:30 Uhr: Entwarnung

Die Sicherheitslücke ist geschlossen. Unser Hosting-Partner Kinsta hat das PHP-Sicherheitsupdate über Nacht auf der gesamten Plattform eingespielt, und zwar für alle PHP-Versionen von 7.4 bis 8.5. Laut Kinsta gibt es keinerlei Hinweise auf erfolgreiche Angriffe über diese Lücke.

Die zusätzlichen Schutzmaßnahmen bleiben vorerst bestehen, auch nach dem Update. Dazu gehören die eigens erstellten Cloudflare-Filterregeln und die Sperre der bekannten Angriffswege auf Serverebene. Die Websites sind damit doppelt abgesichert.

Für Websites, die wir bei Kinsta betreuen, heißt das: abgesichert, kein Ausfall, kein Handlungsbedarf.

So lief das Update ab:

• 21.10., 21:04 Uhr: Kinsta bestätigt die Lücke, Cloudflare-Schutzregeln sind aktiv, erste Updates für PHP 8.3 und 8.5 laufen an.
• 21.10., 22:20 Uhr: PHP 8.0 folgt.
• 21.10., 23:17 Uhr: PHP 7.4 folgt.
• 22.10., 00:06 Uhr: PHP 8.1 folgt.
• 22.10., 01:25 Uhr: PHP 8.2 und 8.4 folgen, damit sind alle Versionen in Auslieferung.
• 22.10., 10:26 Uhr: Kinsta meldet den Abschluss: alle Websites geschützt, keine Hinweise auf Angriffe.

Den offiziellen Verlauf finden Sie auf der Kinsta-Statusseite.

Ihre Website liegt nicht bei Kinsta? Prüfen Sie, ob Ihr Hoster PHP bereits aktualisiert hat. Besonders kritisch sind ältere Versionen wie PHP 7.3 und darunter: Für die gibt es von offizieller Seite kein Update mehr. Wir unterstützen Sie gern bei der Prüfung oder beim Umstieg.

__________

Stand: 21. Oktober 2026, 22:08 – wir aktualisieren diesen Beitrag laufend.

Was ist passiert?

PHP ist die Programmiersprache, auf der WordPress und damit ein großer Teil aller Websites weltweit läuft. Man kann sie sich wie den Motor eines Autos vorstellen: Man sieht ihn nicht, aber ohne ihn fährt nichts.

In diesem Motor wurden zwei Fehler entdeckt (Fachbezeichnung: CVE-2026-109618 und CVE-2026-109619). Über sie könnten Angreifer im schlimmsten Fall fremden Code auf einem Server ausführen. Betroffen ist nicht nur WordPress, sondern auch Systeme wie Drupal, Joomla oder Magento, also ein großer Teil des Internets.

Die gute Nachricht: Die Reparatur ist schon da

Die Entwickler von PHP haben bereits ein Notfall-Update veröffentlicht, das die Lücken schließt. Laut Sicherheitsexperten behebt dieses Update das grundlegende Problem vollständig.

Wichtig zu wissen: Der Fehler liegt in PHP selbst, nicht in WordPress, einem Theme oder einem Plugin. Ein WordPress-Update ist deshalb nicht notwendig. Die Lösung ist allein das PHP-Update auf dem Server.

Wie wir die Websites unserer Kunden schützen

Alle von uns betreuten Websites liegen bei Kinsta, einem der führenden spezialisierten WordPress-Hoster weltweit. Kinsta verwaltet PHP zentral auf allen Servern und hat sofort reagiert:

• Schutzschild aktiv: Auf der gesamten Plattform wurde eine vorübergehende Schutzeinstellung aktiviert, die das Risiko deutlich senkt. Die Websites laufen dabei ganz normal weiter.
• Zusätzlicher Filter: Verdächtige Zugriffe werden über Cloudflare abgefangen, bevor sie eine Website überhaupt erreichen.
• Update läuft: Die reparierten PHP-Versionen werden schrittweise eingespielt. Für die ersten Versionen ist das Update bereits aktiv, weitere werden derzeit geprüft und automatisch installiert, sobald sie freigegeben sind.
• Kein Ausfall nötig: Keine Website muss abgeschaltet oder vom Netz genommen werden.

Den aktuellen Stand können Sie live bei Kinsta mitverfolgen: Kinsta Statusseite

Unser Team steht in engem Austausch mit Kinsta, prüft jede betreute Website einzeln und beobachtet die Lage laufend.

Was müssen Sie tun?

Wenn wir Ihre Website betreuen: Nichts. Wir kümmern uns gemeinsam mit Kinsta darum. Bei Fragen erreichen Sie Ihre gewohnte Ansprechperson oder uns direkt unter mr@rup.at.

Wenn Sie Ihre Website selbst oder bei einem anderen Anbieter hosten: Fragen Sie bei Ihrem Hoster nach, ob PHP bereits auf eine der reparierten Versionen (8.2.35, 8.3.36, 8.4.27 oder 8.5.12) aktualisiert wurde. Besonders kritisch sind ältere PHP-Versionen (7.4, 8.0, 8.1), für die es kein offizielles Update mehr gibt. Wenn Sie unsicher sind, ob Ihre Website betroffen ist, melden Sie sich gerne bei uns, wir schauen es uns an.

Unser Fazit

Solche Meldungen verunsichern, das verstehen wir. Die Lücke ist aber bekannt, die Lösung ist da, und die Absicherung läuft auf Hochtouren. Wir halten Sie hier auf dem Laufenden.