PHP-Sicherheitslücke: Was Website-Betreiber jetzt wissen müssen

Stand: 21. Oktober 2026, 22:08 – wir aktualisieren diesen Beitrag laufend.

Was ist passiert?

PHP ist die Programmiersprache, auf der WordPress und damit ein großer Teil aller Websites weltweit läuft. Man kann sie sich wie den Motor eines Autos vorstellen: Man sieht ihn nicht, aber ohne ihn fährt nichts.

In diesem Motor wurden zwei Fehler entdeckt (Fachbezeichnung: CVE-2026-109618 und CVE-2026-109619). Über sie könnten Angreifer im schlimmsten Fall fremden Code auf einem Server ausführen. Betroffen ist nicht nur WordPress, sondern auch Systeme wie Drupal, Joomla oder Magento, also ein großer Teil des Internets.

Die gute Nachricht: Die Reparatur ist schon da

Die Entwickler von PHP haben bereits ein Notfall-Update veröffentlicht, das die Lücken schließt. Laut Sicherheitsexperten behebt dieses Update das grundlegende Problem vollständig.

Wichtig zu wissen: Der Fehler liegt in PHP selbst, nicht in WordPress, einem Theme oder einem Plugin. Ein WordPress-Update ist deshalb nicht notwendig. Die Lösung ist allein das PHP-Update auf dem Server.

Wie wir die Websites unserer Kunden schützen

Alle von uns betreuten Websites liegen bei Kinsta, einem der führenden spezialisierten WordPress-Hoster weltweit. Kinsta verwaltet PHP zentral auf allen Servern und hat sofort reagiert:

• Schutzschild aktiv: Auf der gesamten Plattform wurde eine vorübergehende Schutzeinstellung aktiviert, die das Risiko deutlich senkt. Die Websites laufen dabei ganz normal weiter.
• Zusätzlicher Filter: Verdächtige Zugriffe werden über Cloudflare abgefangen, bevor sie eine Website überhaupt erreichen.
• Update läuft: Die reparierten PHP-Versionen werden schrittweise eingespielt. Für die ersten Versionen ist das Update bereits aktiv, weitere werden derzeit geprüft und automatisch installiert, sobald sie freigegeben sind.
• Kein Ausfall nötig: Keine Website muss abgeschaltet oder vom Netz genommen werden.

Den aktuellen Stand können Sie live bei Kinsta mitverfolgen: Kinsta Statusseite

Unser Team steht in engem Austausch mit Kinsta, prüft jede betreute Website einzeln und beobachtet die Lage laufend.

Was müssen Sie tun?

Wenn wir Ihre Website betreuen: Nichts. Wir kümmern uns gemeinsam mit Kinsta darum. Bei Fragen erreichen Sie Ihre gewohnte Ansprechperson oder uns direkt unter mr@rup.at.

Wenn Sie Ihre Website selbst oder bei einem anderen Anbieter hosten: Fragen Sie bei Ihrem Hoster nach, ob PHP bereits auf eine der reparierten Versionen (8.2.35, 8.3.36, 8.4.27 oder 8.5.12) aktualisiert wurde. Besonders kritisch sind ältere PHP-Versionen (7.4, 8.0, 8.1), für die es kein offizielles Update mehr gibt. Wenn Sie unsicher sind, ob Ihre Website betroffen ist, melden Sie sich gerne bei uns, wir schauen es uns an.

Unser Fazit

Solche Meldungen verunsichern, das verstehen wir. Die Lücke ist aber bekannt, die Lösung ist da, und die Absicherung läuft auf Hochtouren. Wir halten Sie hier auf dem Laufenden.