Wichtige Sicherheitsinformation: Kritische PHP-Sicherheitslücken

Am 21. Oktober 2026 wurden zwei schwerwiegende Sicherheitslücken in der weitverbreiteten Programmiersprache PHP bekannt gegeben. Diese Schwachstellen betreffen weltweit zahlreiche Websites und Webanwendungen – unabhängig davon, ob diese beispielsweise mit Joomla, WordPress oder einem anderen System betrieben werden.

Die beiden Sicherheitslücken (CVE-2026-109618 und CVE-2026-109619) wurden mit einem sehr hohen Schweregrad von 9,2 von 10 Punkten bewertet. Unter bestimmten Voraussetzungen könnten Angreifer diese Schwachstellen ausnutzen, um unbefugt Programmcode auf betroffenen Webservern auszuführen.

Was bedeutet das für Ihre Website?

Die Sicherheitslücken befinden sich direkt in PHP, also in der serverseitigen Software, auf der zahlreiche Websites basieren. Es handelt sich ausdrücklich nicht um Sicherheitslücken in WordPress, Joomla oder anderen Content-Management-Systemen.

Für die Bereitstellung und Installation der notwendigen PHP-Sicherheitsupdates sind grundsätzlich die jeweiligen Webhosting-Anbieter verantwortlich, sofern diese den Server und die PHP-Umgebung verwalten. Als betreuende Webagentur können wir diese serverseitigen Updates in der Regel nicht selbst installieren.

Selbstverständlich beobachten wir die Situation aufmerksam und prüfen, ob die benötigten Aktualisierungen von den Hosting-Anbietern bereits bereitgestellt wurden.

Diese PHP-Versionen wurden am 21. Oktober veröffentlicht:

Die aufgeführten neuen Versionen schließen die beiden bekannt gewordenen Sicherheitslücken. Auch ältere Versionen innerhalb dieser PHP-Entwicklungszweige sind betroffen. Für PHP 8.1 und ältere Versionszweige stellt das offizielle PHP-Projekt keine regulären Sicherheitsupdates mehr bereit.

PHP-Versionen mit Backports: Einige Hoster spielen Sicherheitskorrekturen in ihre eigenen PHP-Pakete ein, ohne die ursprüngliche PHP-Versionsnummer zu ändern. Deshalb bedeutet beispielsweise PHP 8.4.26 nicht zwangsläufig, dass der Server noch verwundbar ist. Im Zweifelsfall muss der Hoster den Patchstatus bestätigen.

Was hat OBM-Media für seine Kunden bereits unternommen?

Wir nehmen die Sicherheit der von uns betreuten Websites (z. B. durch einen Joomla-Wartungsvertrag) sehr ernst und haben bereits außerplanmäßige Maßnahmen eingeleitet:

• 21. Oktober 2026: Soweit technisch möglich und verfügbar, haben wir sämtliche installierten Drittanbieter-Erweiterungen der betreuten Websites außerplanmäßig aktualisiert.

• 22. Oktober 2026: Wir überprüfen die eingesetzten PHP-Versionen unserer Kundenwebsites und kontrollieren, ob die Hosting-Anbieter die erforderlichen Sicherheitsupdates bereits installiert beziehungsweise bereitgestellt haben.

• Bei Bedarf: Sollten notwendige Updates noch fehlen, werden wir die entsprechenden Hosting-Anbieter kontaktieren beziehungsweise auf die Bereitstellung der Sicherheitskorrekturen hinwirken.

• Laufende Überwachung: Wir verfolgen die weitere Entwicklung und werden bei Bedarf zusätzliche geeignete Sicherheitsmaßnahmen ergreifen.

Die außerplanmäßig durchgeführten Aktualisierungen der Drittanbieter-Erweiterungen werden selbstverständlich noch in den Ihnen bekannten, fortlaufenden Wartungsprotokollen dokumentiert.

Wichtig ist uns dabei: Die Aktualisierung von Joomla und den Drittanbieter-Erweiterungen ersetzt nicht das notwendige PHP-Sicherheitsupdate durch den Hosting-Anbieter. Sie ist jedoch ein wichtiger Bestandteil unseres umfassenden Sicherheits- und Wartungskonzepts.

Sie haben eine E-Mail von Ihrem Hosting-Anbieter erhalten?

Sollten Sie von Ihrem Webhosting-Anbieter bereits eine E-Mail zu diesen oder anderen sicherheitsrelevanten Themen erhalten haben oder in den kommenden Tagen erhalten, leiten Sie diese bitte an uns weiter. Wir prüfen die Informationen und kümmern uns, soweit erforderlich, um die weiteren Schritte.

Müssen Sie selbst etwas unternehmen?

In der Regel nicht. Im Rahmen unserer technischen Website-Betreuung prüfen wir die Situation und ergreifen die uns zur Verfügung stehenden Maßnahmen.

Sollte eine Mitwirkung Ihrerseits notwendig werden, beispielsweise durch eine Freigabe oder die Kontaktaufnahme mit Ihrem Hosting-Anbieter, werden wir Sie entsprechend informieren.

Unser Ziel ist es, Ihre Website auch in dieser besonderen Situation bestmöglich zu schützen. Eine absolute Sicherheit kann im Internet niemand garantieren. Durch regelmäßige Wartung, zeitnahe Sicherheitsupdates und die enge Beobachtung aktueller Bedrohungen lassen sich die Risiken jedoch erheblich reduzieren.

Vielen Dank für Ihr Vertrauen!

Ihr Team von OBM-Media e.K.
Internet-Solutions

Weitere Informationen zu den Sicherheitslücken finden Sie auf der offiziellen PHP-Website:
https://www.php.net/archive/2026.php