Die PHP-Lücke vom 21. Oktober 2026: Ist deine Website betroffen?

Hier steht in Ruhe, was passiert ist, und wie du herausfindest, ob deine eigene Website betroffen ist.

Was ist PHP?

PHP ist eine Programmiersprache. Du siehst sie nie, aber sie arbeitet bei sehr vielen Websites im Hintergrund. Ruft jemand eine Seite auf, baut PHP sie auf dem Server zusammen und schickt sie an den Browser. WordPress läuft darauf, ebenso Joomla, Drupal, TYPO3 und viele Shopsysteme.

Nach Angaben der Sicherheitsfirma Wiz läuft rund 70 Prozent aller Websites mit PHP. Ist PHP angreifbar, ist es also auch die Website, die darauf aufbaut.

Was ist passiert?

Gefunden wurden zwei Sicherheitslücken mit den Kennungen CVE-2026-109618 und CVE-2026-109619. Beide sind auf der üblichen Bewertungsskala mit 9,2 von 10 eingestuft, also kritisch.

Das Gefährliche daran: Ein Angreifer braucht kein Passwort und keinen Zugang. Eine einzige präparierte Anfrage von außen reicht. Laut der Sicherheitsfirma Datadog greift der Angriff, bevor die eigentliche Website überhaupt geladen wird. Ein Login-Schutz der Website hilft deshalb nicht.

Wer die Lücke ausnutzt, kann eigenen Code auf dem Server ausführen. Damit lassen sich Daten auslesen, Inhalte verändern oder Schadsoftware ablegen.

Gefunden hat sie eine KI

Die Fehler steckten nach Angaben von Wiz seit mehr als zehn Jahren im Code von PHP. Entdeckt haben sie zwei Sicherheitsfirmen mit Hilfe von KI-Modellen: Calif mit einem Modell von OpenAI, Wiz mit dem eigenen Werkzeug Wiz Atlas sowie Modellen von Google und OpenAI. Wiz schreibt, ein einzelner Forscher habe damit in einer Woche geschafft, wofür früher ein Expertenteam Monate gebraucht hätte.

Das ist die gute Nachricht: Die Lücken wurden gefunden und gemeldet, bevor sie bekannt wurden. Die schlechte: Angreifer haben Zugang zu denselben Werkzeugen.

Warum gingen so viele Websites offline?

Die PHP-Entwickler haben die Updates vorbereitet und für Mittwoch, den 21. Oktober 2026, um 16 Uhr deutscher Zeit angekündigt. Schon am Tag davor waren Einzelheiten zu den Lücken vorzeitig an die Öffentlichkeit gelangt. Damit war klar: Wer nicht sofort aktualisiert, wird zum Ziel.

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat die Lage mit der Warnstufe „3 / Orange“ eingestuft und Betreibern geraten, Server im Zweifel vom Netz zu nehmen, bis das Update eingespielt ist. Genau das haben viele getan, zum Beispiel die Stadt Mainz, die Universität Potsdam, die Internetwache der Brandenburger Polizei sowie Behörden in Frankreich, den Niederlanden und Finnland.

Panikmache war das nicht. Sicherheitsfirmen wie Cloudflare und Patchstack haben schon um den Tag der Veröffentlichung herum erste Angriffe gemeldet.

Ist deine Website betroffen?

Das hängt vor allem an einer Frage: Wer spielt bei dir die Updates ein?

Liegt deine Website bei einem Anbieter, der sich um die Technik kümmert, ist das Update sehr wahrscheinlich schon drin. Frag trotzdem nach.

Wurde deine Website vor Jahren gebaut und seitdem nicht mehr angefasst, wird es kritisch. Dann läuft oft eine alte PHP-Version. Betroffen sind auch alte Versionen bis zurück zu PHP 5. PHP 8.1 und alles davor bekommt aber vom PHP-Projekt keine regulären Sicherheitsupdates mehr.

Diese Versionen enthalten die Korrektur:

• PHP 8.5.12
• PHP 8.4.27
• PHP 8.3.36
• PHP 8.2.35

Drei Fragen an deinen Anbieter oder Betreuer

1. Wer betreut meine Website technisch?
2. Welche PHP-Version läuft darauf?
3. Ist das Update vom 21. Oktober 2026 eingespielt, nicht nur geplant?

Bekommst du darauf keine klare Antwort, hak nach. Heute, nicht nächsten Monat.

Nicht verwechseln

Ein Update von WordPress oder von Plugins ist kein PHP-Update. PHP läuft eine Ebene darunter, auf dem Server. Darauf weist auch die Sicherheitsfirma Malwarebytes hin. Wer nur im WordPress-Dashboard auf „Aktualisieren“ klickt, hat die Lücke damit nicht geschlossen.

Kurz zusammengefasst

• Zwei kritische Lücken in PHP, bewertet mit 9,2 von 10.
• Angriff ohne Passwort, von außen, bevor die Website lädt.
• Gefunden mit KI, nach über zehn Jahren im Code.
• Das Update gibt es seit dem 21. Oktober 2026.
• Entscheidend ist, ob bei deiner Website jemand die Updates einspielt.

Kennst du jemanden mit eigener Website, der davon vermutlich nichts mitbekommen hat? Dann schick ihm diesen Artikel oder das Video.