PHP-Sicherheitslücke vom 26. Oktober: Gut aufgehoben im WaaS-Hosting

tl;dr: Am 21. Oktober 2026 wurde eine kritische PHP-Sicherheitslücke bekannt. Unsere Hosting-Kunden mussten nichts tun, weil wir am selben Vormittag gehandelt haben. Genau dafür gibt es unser WaaS-Hosting.

Weißt du, auf welcher PHP-Version deine Website läuft? Nach unserer Erfahrung lautet die ehrliche Antwort bei vielen Seitenbetreibern: keine Ahnung. Am 21. Oktober hat sich gezeigt, warum das ein Problem sein kann. PHP steckt u.a. hinter WordPress, WooCommerce, Magento und Shopware, also hinter dem Großteil der Websites und Shops, die wir betreuen. Die technischen Eckdaten stammen von PHP selbst, von CERT-EU und von Hosting-Anbietern, die Quellen stehen am Ende.

Was ist passiert?

Das PHP-Team hat am 21. Oktober um 15:30 Uhr MESZ die Versionen 8.5.12, 8.4.27, 8.3.36 und 8.2.35 veröffentlicht. Sie beheben die Schwachstellen CVE-2026-109618 und CVE-2026-109619. Beide erlauben laut PHP die Ausführung von Schadcode aus der Ferne, ohne Anmeldung. PHP bewertet sie mit 9.2 von 10 (CVSS v4.0), die US-Datenbank NVD kommt mit CVSS v3.1 auf 9.8.

Betroffen ist jede PHP-Installation, die Webanfragen bedient, auch PHP-FPM hinter NGINX. Am höchsten schätzt PHP das Risiko bei Apache mit mod_php ein. PHP 8.1 und älter bekommen keinen offiziellen Patch.

Die Details waren schon vor dem Release öffentlich. Cloudflare meldete laut Codeable bereits am Vormittag erste Angriffe, und CERT-EU schreibt, dass Proof-of-Concepts kursieren.

Was wir am 21. Oktober getan haben

Um 10:51 Uhr haben wir von der Lücke erfahren. Ab diesem Zeitpunkt war unser Technik-Team den ganzen Tag damit beschäftigt, Server und Hosting-Applikationen abzusichern. So eine Situation habe ich persönlich in knapp 20 Jahren in der Technologiebranche noch nicht erlebt.

Die erste Maßnahme war das Deaktivieren der PHP-Funktion session.upload_progress auf allen Servern. Sie liefert Fortschrittsinformationen bei Datei-Uploads, und öffentliche Recherchen nennen sie als bekannten Angriffsweg. Anwendungen mit eigenem Fortschrittsbalken in JavaScript merken davon nichts, Uploads funktionieren weiter. Der Anbieter der Software, mit der wir unsere Server verwalten, hat dieselbe Übergangsmaßnahme auf seiner Seite umgesetzt und zusätzlich zwei NGINX-Vorlagen veröffentlicht.

Am Abend stellte der Anbieter unserer Serververwaltungssoftware die gepatchten PHP-Versionen bereit. Das Einspielen über den Patch-Manager läuft in Wellen und zieht sich bis in den Donnerstag.

Was die Übergangsmaßnahme leistet

Das Abschalten von session.upload_progress schließt den bekannten Angriffsweg. Den eigentlichen Fix liefert erst das Update auf die gepatchten Versionen. PHP selbst empfiehlt allen, die noch nicht updaten können, genau diese Einstellung. Ob es weitere Wege gibt, lässt sich heute nicht ausschließen, deshalb endet unser Plan erst mit dem Patch auf jedem einzelnen Server.

Was du jetzt schleunigst tun solltest

Wenn du deine Website selbst hostest oder bei einem anderen Anbieter bist, hilft diese Reihenfolge. Teste nach jedem Schritt, ob die Website noch läuft.

1. PHP-Version prüfen (Hosting-Panel oder phpinfo()). Gepatcht sind PHP-Versionen ab 8.2.35, 8.3.36, 8.4.27 und 8.5.12.
2. Auf PHP 8.1 oder älter? Dafür gibt es keinen Patch. Plane den Umstieg auf 8.2 oder höher und teste Plugins und Themes vorher. Bei älteren Shop-Systemen, zum Beispiel Magento 2 in älteren Versionen, hängt das PHP-Upgrade oft an einem Shop-Upgrade, das zuerst ansteht.
3. Auf PHP 8.2? Der Zweig bekommt laut PHP-Release-Notes nur noch bis 31. Dezember 2026 Sicherheitsupdates. Der Umstieg auf 8.3 oder höher gehört auf deine Liste fürs nächste Quartal.
4. Update nicht sofort möglich? Setze session.upload_progress.enabled auf Off und starte PHP neu.

Gut aufgehoben im WaaS-Hosting

Auf unseren Hosting-Servern lief in dieser Zeit alles weiter, ohne Ausfall und ohne Handlungsbedarf für unsere Kunden. Genau dafür gibt es unser WaaS-Hosting: Wir lesen aktiv alle Sicherheitsmeldungen, handeln proaktiv, also bevor ein Schaden entsteht, und halten unsere Server (PHP, CMS, Theme, Plugins/Extensions) aktuell. Bei einem Webspace ohne Betreuung wärst du an diesem Mittwoch selbst gefragt gewesen.

Beim WaaS-Hosting hingegen kümmern wir uns um alles rund um deine Website oder deinen Shop: Hosting auf sicheren Servern in Deutschland, laufende Wartung und Updates, Backups, Sicherheitschecks und persönlichen Support. Du kannst dich auf Inhalte und Geschäft konzentrieren, die Technik übernehmen wir.

Wenn du an unserem WaaS-Hosting interessiert bist, melde dich bitte bei uns über das Kontaktformular. Wir besprechen mit dir, was bei deiner Webpräsenz ansteht.

Stand: 22. Oktober 2026.