Management Summary
Am 21. Oktober 2026 wurden zwei kritische Sicherheitslücken in PHP veröffentlicht. PHP bildet die technische Grundlage zahlreicher Websites und Webanwendungen.
Betroffen sein können grundsätzlich alle Webanwendungen mit einer verwundbaren PHP-Laufzeitumgebung. Dazu gehören unter anderem WordPress, Joomla, Nextcloud, Onlineshops, Kundenportale und individuelle Geschäftsanwendungen.
Die Schwachstellen CVE-2026-109618 und CVE-2026-109619 werden mit einem kritischen CVSS-Wert von jeweils 9,2 bewertet. Unter bestimmten Bedingungen können Angreifer ohne Anmeldung Schadcode auf betroffenen Servern ausführen.
Zusätzlich wichtig: Nicht nur PHP selbst, sondern auch PHP-basierte Themes, Templates, Plugins, Module und Erweiterungen können eigenständige Sicherheitslücken enthalten. Aktuelles Beispiel ist YOOtheme Pro 5 für Joomla und WordPress. Für diese zusätzliche Schwachstelle wurde am 21. Oktober 2026 ein separates Sicherheitsupdate veröffentlicht.
Unsere Empfehlung: Prüfen Sie zeitnah gemeinsam mit Ihrem Hosting-Anbieter beziehungsweise IT-/Homepage-Dienstleister sowohl die PHP-Laufzeitumgebung als auch Ihre Webanwendungen einschließlich aller installierten Erweiterungen.
Kritische PHP-Sicherheitslücken: Was Website-Betreiber jetzt wissen und tun sollten
Die Sicherheitslücken befinden sich nicht in einem einzelnen WordPress-Plugin oder Joomla-Modul, sondern in der zugrunde liegenden PHP-Laufzeitumgebung. Deshalb können sehr unterschiedliche Webanwendungen betroffen sein, auch wenn deren eigentliche Software bereits auf dem aktuellen Stand ist.
Das PHP-Entwicklerteam hat am 21. Oktober entsprechende Sicherheitsupdates veröffentlicht. Auch das Bundesamt für Sicherheit in der Informationstechnik (BSI) und europäische Sicherheitsstellen weisen auf die kritische Bedrohung hin.
Welche Websites und Anwendungen können betroffen sein?
PHP gehört zu den am weitesten verbreiteten Technologien für serverseitige Webanwendungen. Entsprechend groß ist der Kreis potenziell betroffener Systeme:
- Content-Management-Systeme: WordPress, Joomla, Drupal und vergleichbare Plattformen
- Cloud- und Kollaborationslösungen: insbesondere Nextcloud-Server
- Onlineshops: PHP-basierte Shop- und E-Commerce-Systeme
- Kunden- und Serviceportale: Login-Bereiche, Buchungs- und Verwaltungsanwendungen
- Individuelle Webanwendungen: PHP-basierte Eigenentwicklungen und Schnittstellen
Wichtig: Die Nutzung von PHP bedeutet nicht automatisch, dass ein System bereits angegriffen wurde. Entscheidend sind die eingesetzte PHP-Version, der tatsächliche Patchstatus und die jeweilige Serverkonfiguration.
Auch Themes, Templates, Plugins und Erweiterungen können Sicherheitslücken enthalten
Neben der PHP-Laufzeitumgebung müssen Website-Betreiber auch die Sicherheit ihrer eingesetzten Anwendungen und Erweiterungen im Blick behalten.
WordPress, Joomla und vergleichbare Systeme werden häufig durch zusätzliche Themes, Templates, Plugins, Module und Komponenten erweitert. Diese enthalten teilweise eigenen PHP-Code und können unabhängig von der eigentlichen PHP-Installation Sicherheitslücken aufweisen.
Wichtig: Ein Sicherheitsupdate des Hosting-Anbieters für PHP beseitigt nicht automatisch Schwachstellen in installierten Erweiterungen. Umgekehrt ersetzt ein Plugin- oder Template-Update keine notwendigen PHP-Sicherheitsupdates.
Aktuelles Beispiel: Kritisches Sicherheitsupdate für YOOtheme Pro 5
Parallel zu den PHP-Sicherheitsupdates wurde am 21. Oktober 2026 auch eine kritische Sicherheitslücke in YOOtheme Pro 5 bekannt.
YOOtheme Pro wird unter anderem als Template- und Page-Builder-System für Joomla und WordPress eingesetzt.
Die Schwachstelle CVE-2026-102785 ermöglicht unter bestimmten Bedingungen die Ausführung von Schadcode ohne vorherige Anmeldung (Remote Code Execution). Betroffen ist der Image Handler von YOOtheme Pro.
Der Hersteller hat mit YOOtheme Pro 5.0.53 ein entsprechendes Sicherheitsupdate veröffentlicht. Betroffen sind frühere Versionen der 5er-Reihe. YOOtheme Pro 4 und ältere Versionsreihen sind von dieser konkreten Schwachstelle nicht betroffen.
Unsere dringende Empfehlung für Anwender von YOOtheme Pro 5:
- Installierte YOOtheme-Pro-Version überprüfen.
- Vor dem Update eine aktuelle Sicherung von Website und Datenbank erstellen.
- Betroffene Installationen möglichst umgehend auf YOOtheme Pro 5.0.53 oder neuer aktualisieren.
- Anschließend Funktion, Integrität und Sicherheitsstatus der Website kontrollieren.
- Bei Verdacht auf einen bereits erfolgten Angriff auch Serverprotokolle, unerwartete Dateien und Benutzerkonten untersuchen lassen.
Zur Einordnung: Die YOOtheme-Schwachstelle ist ein eigenständiges Sicherheitsproblem und nicht mit den beiden PHP-Core-Schwachstellen CVE-2026-109618 und CVE-2026-109619 gleichzusetzen. Die jeweiligen Updates müssen unabhängig voneinander durchgeführt werden.
Weitere Informationen: YOOtheme Pro – offizielles Changelog
Welche PHP-Sicherheitsupdates stehen bereit?
Das offizielle PHP-Projekt hat am 21. Oktober 2026 folgende korrigierte Versionen bereitgestellt:
- PHP 8.5.12
- PHP 8.4.27
- PHP 8.3.36
- PHP 8.2.35
PHP 8.1 und ältere Versionen werden vom offiziellen PHP-Projekt nicht mehr mit Sicherheitsupdates versorgt. Betriebssystemhersteller und Hosting-Anbieter können jedoch eigene Sicherheitskorrekturen (Backports) anbieten.
Hinweis: Auch bei einer angezeigten älteren PHP-Versionsnummer kann ein System durch solche Herstellerkorrekturen geschützt sein. Maßgeblich ist daher nicht allein die Versionsanzeige, sondern der tatsächlich installierte Sicherheitsstand.
Besonders beachten: Nextcloud und andere Cloud-Anwendungen
Auch Nextcloud-Installationen können betroffen sein. Die beliebte Open-Source-Plattform nutzt PHP für wesentliche serverseitige Funktionen, beispielsweise Dateiablage, Freigaben, Benutzerverwaltung und Zusammenarbeit.
Dies betrifft grundsätzlich sowohl selbst betriebene Nextcloud-Server als auch verwaltete Hosting-Angebote, sofern die eingesetzte PHP-Laufzeitumgebung verwundbar ist.
Bei Managed Nextcloud liegt die Verantwortung für die vom Anbieter verwaltete Infrastruktur in der Regel beim jeweiligen Hosting-Dienstleister. Bei selbst betriebenen Instanzen müssen Administratoren oder IT-Dienstleister die notwendigen Sicherheitsupdates eigenständig veranlassen.
Wichtig für Unternehmen: Eine aktuelle Nextcloud-Version allein garantiert keinen Schutz vor Sicherheitslücken in PHP. Auch die zugrunde liegende Serverumgebung muss regelmäßig aktualisiert werden.
IONOS-Webhosting: Was müssen Kunden beachten?
Bei klassischen IONOS-Webhosting-Paketen und verwalteten Hosting-Angeboten übernimmt IONOS in der Regel die Wartung der bereitgestellten Server- und PHP-Infrastruktur.
Sicherheitskorrekturen können dabei zentral und automatisch ausgerollt werden. Kunden müssen solche Serverupdates häufig nicht selbst installieren.
Dennoch sollte nicht pauschal davon ausgegangen werden, dass sämtliche PHP-Versionen und Anwendungen bereits vollständig abgesichert sind. Der konkrete Patchstatus sollte beim Anbieter überprüft werden.
Für ältere PHP-Versionen bietet IONOS einen kostenpflichtigen PHP Extended Support. Auch hier ist zu klären, ob die aktuellen Schwachstellen bereits durch entsprechende Sicherheitskorrekturen geschlossen wurden.
Bei selbstverwalteten Cloud-Servern oder VPS-Systemen liegt die Verantwortung für PHP-Updates dagegen in der Regel beim jeweiligen Serveradministrator.
Unsere Empfehlungen: So gehen Website-Betreiber vor
1. PHP-Version überprüfen
Melden Sie sich in Ihrem Hosting-Control-Center an. Bei IONOS finden Sie die Einstellungen im Bereich Hosting > PHP. Prüfen Sie, welche PHP-Version Ihren Domains und Webanwendungen zugewiesen ist.
2. Sicherheitsstatus mit dem Hoster klären
Fragen Sie nach, ob die aktuellen PHP-Sicherheitsupdates bereits eingespielt wurden oder entsprechende Herstellerkorrekturen vorhanden sind.
3. Webanwendungen und Erweiterungen überprüfen
Prüfen Sie nicht nur die öffentlich erreichbare Homepage. Berücksichtigen Sie auch Nextcloud, Onlineshops, Kundenportale, Subdomains sowie Entwicklungs- und Testsysteme.
Kontrollieren Sie außerdem die Versionsstände aller installierten Themes, Templates, Plugins, Module und Komponenten. Beachten Sie besonders aktuelle Sicherheitswarnungen der jeweiligen Hersteller.
4. Sicherheitsupdates sorgfältig durchführen
Verwenden Sie möglichst eine aktuelle, unterstützte PHP-Version und installieren Sie verfügbare Sicherheitsupdates für Ihre Webanwendungen und Erweiterungen.
Aktueller Hinweis: Nutzer von YOOtheme Pro 5 sollten nach einer Datensicherung umgehend auf Version 5.0.53 oder neuer aktualisieren.
Prüfen Sie vor Versionswechseln die Kompatibilität Ihrer Anwendungen und führen Sie anschließend einen Funktionstest durch.
5. Backups, Zugriffe und Systemintegrität kontrollieren
Stellen Sie sicher, dass aktuelle Sicherungen von Website-Dateien und Datenbanken vorhanden sind. Lassen Sie bei Bedarf Serverprotokolle, Benutzerkonten und unerwartete Dateiänderungen auf mögliche Hinweise einer Kompromittierung prüfen.
Kann eine betroffene Anwendung nicht zeitnah abgesichert werden, sollten vorübergehende Zugriffsbeschränkungen oder eine zeitweilige Abschaltung geprüft werden.
Bitte beachten: Eine sichere Website benötigt regelmäßige Updates auf mehreren Ebenen: Hosting-Infrastruktur, PHP, CMS, Anwendungen und sämtliche Erweiterungen. Ein einzelnes Update schützt nicht automatisch das gesamte System.
Bitte beachten: Ein Update von WordPress, Joomla oder Nextcloud ersetzt nicht die notwendigen PHP-Sicherheitsupdates.
Weiterführende Informationen und offizielle Quellen
Aktuelle Sicherheitsinformationen, veröffentlichte Updates und technische Hinweise finden Sie bei folgenden offiziellen Stellen:
- PHP-Projekt: Offizielle Sicherheitsmeldung vom 21.10.2026
- PHP-Projekt: Aktuelle Downloads und Sicherheitsupdates
- BSI: Aktuelle IT-Sicherheitsinformationen und Warnungen
- CERT-EU: Critical Vulnerabilities in PHP – Advisory 2026-018
- IONOS: Aktive PHP-Version anzeigen oder ändern
- IONOS: PHP Extended Support für ältere PHP-Versionen
- IONOS: Aktueller Systemstatus
- Nextcloud: Systemanforderungen und unterstützte PHP-Versionen
- Nextcloud: PHP-Konfiguration und Administrationshinweise
- YOOtheme: Offizielles Changelog – Sicherheitsupdate 5.0.53 vom 21.10.2026
- mySites.guru: Sicherheitsanalyse und Hinweise für betroffene YOOtheme-Pro-5-Installationen
Fazit: Website-Sicherheit umfasst mehr als nur PHP
Die aktuellen PHP-Sicherheitslücken und das zusätzliche Sicherheitsupdate für YOOtheme Pro 5 verdeutlichen, wie wichtig eine ganzheitliche Betrachtung der IT-Sicherheit ist.
Neben einer regelmäßig aktualisierten PHP-Laufzeitumgebung benötigen auch Content-Management-Systeme, Cloud-Anwendungen, Themes, Templates, Plugins und Erweiterungen eine kontinuierliche Sicherheitswartung.
Bei verwalteten Hosting-Angeboten übernimmt häufig der Anbieter die zentralen Serverupdates. Für die Aktualität und Sicherheit der eingesetzten Webanwendungen und Erweiterungen bleiben jedoch in der Regel die Website-Betreiber beziehungsweise ihre beauftragten IT-Dienstleister verantwortlich.
Unsere Empfehlung: Überprüfen Sie nicht nur Ihre PHP-Version, sondern den Sicherheitsstatus Ihrer gesamten Webanwendung einschließlich aller Komponenten. Stimmen Sie notwendige Updates und Schutzmaßnahmen kurzfristig mit Ihrem IT-/Homepage-Dienstleister ab.
Stimmen Sie sich mit Ihrem IT-/Homepage-Dienstleister ab!
Bitte nehmen Sie keine unvorbereiteten Änderungen an Ihrer PHP-Konfiguration vor. Ein Versionswechsel kann zu Funktionsproblemen führen, wenn verwendete Anwendungen oder Erweiterungen noch nicht kompatibel sind.
Stimmen Sie sich deshalb kurzfristig mit Ihrem IT- oder Homepage-Dienstleister ab und klären Sie, welche Schutzmaßnahmen bereits umgesetzt wurden und wo zusätzlicher Handlungsbedarf besteht.
Sie benötigen Unterstützung bei der Einordnung Ihrer PHP-Version, der Prüfung Ihrer Website oder der Abstimmung mit Ihrem Hosting-Anbieter? Gerne unterstützen wir Sie.
