PHP-Sicherheitslücke: Was bedeutet das für Ihr Unternehmen?
Was Website- und Shopbetreiber jetzt mit ihrem IT-Dienstleister klären sollten, und wie sich die Folgen eines Cybervorfalls absichern lassen.
Alea 8 Minuten Lesezeit
Auf dieser Seite
- 1 Betroffenheit klären Mit Ihrer IT oder Ihrem Hoster: Welche PHP-Version läuft bei uns, und wie?
- 2 Sicherheitsupdates prüfen lassen Sind die Updates vom 21. Oktober eingespielt, und auf allen Systemen?
- 3 Folgen einordnen Was ein Ausfall oder eine Datenpanne kostet, und was davon versicherbar ist.
Eine Orientierung für das Gespräch, keine technische Prüfung Ihrer Systeme.
Was ist passiert?
Am 21. Oktober 2026 haben die PHP-Entwickler Sicherheitsupdates veröffentlicht und zwei Schwachstellen beschrieben. Beide sind nach dem gängigen Maßstab CVSS mit 9,2 von 10 Punkten bewertet, und beide können laut Mitteilung dazu führen, dass ein Angreifer eigenen Programmcode auf dem Server ausführt, ohne sich anzumelden. PHP ist die Software, mit der ein großer Teil aller Websites und Shops auf dem Server arbeitet; davon ist auf der Website selbst nichts zu sehen. Am selben Tag haben Europäische Kommission, ENISA, CERT-EU, Europol und das Netz der nationalen Computer-Notfallteams in einer gemeinsamen Mitteilung dazu aufgerufen, die Updates einzuspielen und mit den aus dem Internet erreichbaren Systemen anzufangen.
Dass Sie PHP einsetzen, heißt nicht, dass Sie betroffen sind.
Die Mitteilung nennt die Versionen, in denen die Korrektur steckt, nicht die Versionen, die die Lücke haben. Ob Ihre Systeme sie haben, hängt an der eingesetzten Version, an der Konfiguration und daran, wie PHP bei Ihnen läuft, und das kann nur prüfen, wer Ihre Server kennt.
Zwei Schwachstellen
CVE-2026-109618 und CVE-2026-109619. Beide betreffen das Innere von PHP, nicht ein einzelnes Plugin, und beide sind mit 9,2 von 10 Punkten bewertet.
Die Updates
Die Korrektur steckt in PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35. Für 8.1 und älter gibt es vom Projekt keine Updates mehr; für 7.4, 8.0 und 8.1 nennt die Mitteilung zurückportierte Korrekturen, einzelne Distributionen liefern eigene Pakete.
Wo das Risiko am höchsten ist
Die Mitteilung nennt jede PHP-Installation, die Webanfragen beantwortet, und das höchste Risiko bei Apache mit mod_php. Dort wurde die Ausführung fremden Codes mit den Voreinstellungen und ohne Anmeldung gezeigt.
Behelfe ersetzen das Update nicht
Die Mitteilung nennt Einstellungen, die das Ausnutzen erschweren, und sagt ausdrücklich, dass keine davon genügt. Vollständig behoben ist es nur mit dem Update. Was davon bei Ihnen in Frage kommt, entscheidet Ihre IT.
Ist meine Website betroffen?
PHP läuft nicht im Browser, sondern auf dem Server. Deshalb lässt sich von außen nicht ablesen, ob eine Installation die Lücke hat, und auch der Name des Systems beweist es nicht: Es zählt, welche PHP-Version tatsächlich läuft, wie sie eingebunden ist und ob die Sicherheitsupdates eingespielt sind. Liegt Ihre Website bei einem Hoster oder einer Agentur, ist der dortige Ansprechpartner die erste Adresse für die technische Prüfung. Wir prüfen keine Systeme und stellen aus der Ferne keine Diagnose, auch nicht anhand Ihrer Domain. Was wir einordnen können, ist die geschäftliche Seite: was ein Ausfall oder eine Datenpanne für Ihren Betrieb bedeutet und was davon eine Versicherung tragen kann.
-
WordPress oder WooCommerce
Läuft auf PHP. Ein Update von WordPress, Theme oder Plugin tauscht die PHP-Version auf dem Server nicht aus. Fragen Sie nach beidem.
-
Shopware, Magento oder TYPO3
Dieselbe Lage: Das System sagt nichts darüber, welche PHP-Version darunter läuft und ob sie die Korrektur enthält.
-
Eigene Portale und Schnittstellen
Kundenportale, Buchungsstrecken oder Schnittstellen, die ein Dienstleister für Sie gebaut hat, laufen oft auf PHP, ohne dass es jemand erwähnt.
-
Software mit PHP im Inneren
Die gemeinsame Mitteilung der EU-Stellen weist darauf hin, dass PHP auch in Produkten steckt, die nicht nach PHP aussehen. Eine öffentliche Liste dazu pflegt das niederländische NCSC.
-
Website beim Hoster oder in der Cloud
Dann entscheidet Ihr Hoster, wann aktualisiert wird. Fragen Sie, ob es passiert ist, und lassen Sie sich die Antwort schriftlich geben.
-
Server im eigenen Haus
Hier liegt es bei Ihnen oder Ihrem IT-Dienstleister. Update, Neustart der Dienste und der Blick in die Protokolle gehören zusammen.
Diese Fragen stellen Sie Ihrer IT.
Sechs Fragen für das Gespräch mit Ihrer IT, Ihrer Agentur oder Ihrem Hoster. Sie brauchen dafür kein technisches Vorwissen: Es genügt, sie zu stellen und die Antworten festzuhalten.
- 1 Nutzen unsere Websites oder Anwendungen betroffene PHP-Versionen oder Konfigurationen?
- 2 Sind die empfohlenen Sicherheitsupdates bereits eingespielt?
- 3 Wer ist für Hosting, Wartung und Updates verantwortlich?
- 4 Gibt es Hinweise auf einen bereits erfolgten Zugriff oder Vorfall?
- 5 Sind Backups und Wiederherstellung geprüft?
- 6 Welche Maßnahmen sind erforderlich, falls ein Update noch nicht möglich ist?
Die Liste ist eine Orientierung für das Gespräch, kein technischer Sicherheitsnachweis und keine Prüfung der Versicherbarkeit.
Technische Vorsorge und finanzielle Absicherung gehören zusammen.
Website oder Shop fällt aus
Steht das System, nehmen Sie keine Aufträge an und Ihre Kunden erreichen Sie nicht. Je nach Vertrag kann eine Cyberversicherung den Ertragsausfall während des Stillstands tragen.
Daten müssen wiederhergestellt werden
Nach einem Vorfall werden Systeme neu aufgesetzt und Daten aus Sicherungen zurückgeholt. Das kostet Zeit und meist externe Hilfe. Beides kann je nach Vertrag versichert sein.
Kundendaten oder vertrauliche Informationen sind betroffen
Dann kommen Meldepflichten, die Benachrichtigung der Betroffenen und mögliche Ansprüche Dritter dazu. Die Frist nach Art. 33 DSGVO läuft ab dem Moment, in dem Sie von der Panne wissen.
Was eine Versicherung leistet, und was nicht
Sicherheitsupdates und technische Maßnahmen beheben das Risiko. Eine Cyberversicherung ersetzt sie nicht, sondern setzt sie voraus: Sie kann die finanziellen Folgen tragen und die Unterstützung im Schadenfall organisieren, und je nach Produkt gehören Präventionsleistungen dazu. Wir helfen, Bedarf, Voraussetzungen und Angebote einzuordnen.
Für einen Vorfall, der schon läuft oder bekannt ist, lässt sich kein Schutz mehr einkaufen: Eine neue Police deckt ihn nicht. Klären können wir die Absicherung für die Zeit danach und was ein Versicherer dafür von Ihrer IT erwartet.
Cyberabsicherung für meinen Betrieb klären: Wir sagen Ihnen, was in Frage kommt und was ein Versicherer dafür verlangt.
Jetzt Angebot erhalten
Ihr Ansprechpartner kennt Versicherung aus der Praxis.
Fünf Jahre bei Marsh Deutschland, zuletzt als Client Executive für multinationale Unternehmen, danach zwei Jahre bei deas (Ecclesia Gruppe) für internationale Industrieprogramme.
Er kennt Deckung, Verhandlung und Schaden aus dem Maschinenraum und weiß, worauf ein Versicherer beim Beitrag schaut. Die Prüfung macht ein Mensch, Technologie nimmt ihm das Lesen und Aufbereiten der Unterlagen ab.
Häufige Fragen.
Muss ich PHP selbst aktualisieren?
Nur, wenn Sie den Server selbst betreiben. Liegt Ihre Website bei einem Hoster oder wird sie von einer Agentur betreut, macht das dort jemand. Ihre Aufgabe ist, nachzufragen, ob es passiert ist, und sich die Antwort bestätigen zu lassen. Die gemeinsame Mitteilung der EU-Stellen nennt genau diese Abstimmung mit Hosting- und Dienstleistern als einen der ersten Schritte.
Reicht ein WordPress-Update?
Nein. WordPress läuft auf PHP, ist aber nicht PHP. Ein Update von WordPress, eines Themes oder eines Plugins tauscht die PHP-Version auf dem Server nicht aus. Beides muss aktuell sein, und nach beidem sollten Sie fragen.
Wer ist bei externem Hosting verantwortlich?
Für die Technik derjenige, mit dem Sie es vereinbart haben: der Hoster, die Agentur oder Ihr IT-Dienstleister. Ein Blick in den Vertrag lohnt, weil „Managed Hosting" und „Server bei uns" sehr Verschiedenes bedeuten. Für Ihre Daten bleiben Sie verantwortlich, auch wenn die Technik außer Haus läuft.
Bedeutet eine ungepatchte Installation automatisch, dass ich gehackt wurde?
Nein. Eine Lücke ist eine Möglichkeit, kein Beweis. Die PHP Foundation schreibt, dass nach einem Leak Einzelheiten und erste Machbarkeitsnachweise im Umlauf waren, dem Sicherheitsteam zum Zeitpunkt der Veröffentlichung aber keine funktionierenden Angriffswerkzeuge bekannt waren. Ob bei Ihnen etwas passiert ist, zeigt nur der Blick in Protokolle und Systeme.
Was sollte ich bei Verdacht auf einen laufenden Vorfall tun?
Zuerst die Menschen einbeziehen, die Ihre Systeme kennen: interne IT-Verantwortliche, Hoster oder Dienstleister. Protokolle sichern und nichts überschreiben. Besteht eine Cyberversicherung, steht in Ihren Unterlagen ein Schaden- oder Notfallkontakt; der gehört zu den ersten Anrufen, weil der Versicherer von dort aus die Hilfe organisiert und Meldefristen laufen. Alea ist Versicherungsmakler und kein technischer Notdienst.
Was kann eine Cyberversicherung leisten?
Je nach Vertrag die finanziellen Folgen eines Vorfalls, also Wiederherstellung, Ertragsausfall während des Stillstands und berechtigte Ansprüche Dritter, dazu die Unterstützung in den ersten Tagen von der IT-Forensik über die Rechtsberatung bis zur Benachrichtigung der Betroffenen. Je nach Produkt gehören Präventionsleistungen dazu. Pauschal gilt davon nichts: Was Sie bekommen, steht im jeweiligen Vertrag, und genau das gehen wir mit Ihnen durch.
Kann ich mich für einen bereits eingetretenen Schaden nachträglich versichern?
Nein. Ein Schaden, der vor Vertragsbeginn eingetreten oder bekannt ist, ist nicht versichert, und eine Anfrage bei uns begründet keine rückwirkende Deckung. Sinnvoll ist das Gespräch für die Zeit danach. Einen Vorfall in der jüngeren Vergangenheit fragt jeder Versicherer ab; wir sagen Ihnen offen, was er für Ihre Möglichkeiten bedeutet.
Quellen
Dieser Artikel gibt die Mitteilungen vom 21. Oktober 2026 wieder. Die Quellen sind unten verlinkt und nicht von uns zusammengefasste Nachrichten; wer es technisch genau braucht, liest sie im Original. Redaktioneller Stand: .
- php.net: Security advisory und die Releases vom 21. Oktober 2026
- The PHP Foundation: Today’s PHP security release and how we’re strengthening PHP security
- ENISA und EU-Stellen: Joint statement on critical PHP vulnerabilities
- NCSC-NL: Liste von Software, die PHP enthält
Die genannten Stellen haben Alea nicht geprüft, nicht empfohlen und arbeiten nicht mit uns zusammen. Wir verweisen auf ihre Veröffentlichungen, weil sie die Grundlage dieses Artikels sind.