Stand: 21. Oktober 2026, 20:10 Uhr MESZ
Die Website lädt nicht mehr, der Shop ist vorübergehend geschlossen und beim Hoster steht etwas von einer kritischen Sicherheitslücke. Am 21. Oktober war genau das für viele Unternehmen die Situation. Mehrere Anbieter haben Websites vorsorglich vom Netz genommen, während sie Sicherheitsupdates vorbereitet und eingespielt haben.
Der Anlass sind zwei Schwachstellen in PHP, einer technischen Grundlage vieler Websites und Onlineshops. Sie werden unter dem Namen PHP2Shell diskutiert. Die Updates sind inzwischen veröffentlicht. Für euch zählt jetzt, ob die Korrekturen auch in der PHP-Umgebung angekommen sind, mit der eure Website tatsächlich läuft. PHP-Sicherheitsmeldung
Was PHP mit eurer Website zu tun hat
PHP verarbeitet auf dem Server unter anderem den Programmcode von WordPress. Wenn ihr einen Beitrag öffnet, euch anmeldet oder im Shop eine Bestellung vorbereitet, arbeitet diese Technik im Hintergrund. Besucher sehen die fertige Seite, nicht die Software, die sie zusammensetzt.
Die aktuellen Fehler liegen in dieser darunterliegenden Laufzeitumgebung. Deshalb kann auch eine Website mit aktuellem WordPress, gepflegten Plugins und einem sicheren Administratorpasswort betroffen sein. Ein WordPress-Update allein tauscht die PHP-Installation des Servers nicht aus.
Das mögliche Risiko ist erheblich: Angreifer können unter passenden Bedingungen ohne Anmeldung eigenen Code im Kontext des Webserver-Prozesses ausführen. Damit können etwa Inhalte oder Daten gefährdet sein, auf die dieser Prozess zugreifen darf. Eine erfolgreiche Ausnutzung unter Apache mit mod_php ist in den technischen Sicherheitsmeldungen dokumentiert. Technisches Advisory des PHP-Projekts
Die Meldung bedeutet allerdings nicht, dass eure Website bereits angegriffen oder übernommen wurde. Eine Schwachstelle beschreibt eine mögliche Angriffsmöglichkeit. Ob sie bei einer konkreten Website ausgenutzt wurde, ist eine eigene Untersuchung.
Warum heute so schnell gehandelt werden musste
Das PHP-Team hatte die Veröffentlichung am 20. Oktober angekündigt. Beide Lücken sind nach CVSS 4.0 mit 9,2 von 10 Punkten als kritisch bewertet. Die Kennungen lauten CVE-2026-109618 und CVE-2026-109619.
Die Updates waren für den 21. Oktober um 16 Uhr deutscher Sommerzeit angekündigt. Laut CERT-EU wurden sie bereits um 15:30 Uhr MESZ veröffentlicht. Gleichzeitig wurden technische Details und erste Demonstrationen möglicher Angriffe öffentlich. CERT-EU empfiehlt sofortiges Patchen und, falls das nicht möglich ist, die vorübergehende Isolation öffentlich erreichbarer Anwendungen. CERT-EU zum aktuellen Stand
Auch das BSI hatte zum unverzüglichen Einspielen der Updates aufgerufen. Die Behörde hielt eine großflächige Ausnutzung innerhalb weniger Stunden nach Veröffentlichung für wahrscheinlich. Das erklärt den Zeitdruck bei Hostern und technischen Betreuern. Warnung des BSI vom 21. Oktober
Eine vorsorglich abgeschaltete Website kann deshalb Teil der Schutzmaßnahme sein. Für einen Betrieb mit laufenden Bestellungen bleibt der Ausfall trotzdem ein Problem. Umso hilfreicher sind konkrete Angaben dazu, was abgeschaltet wurde, wer das Update einspielt und wann die nächste Rückmeldung kommt.
Wie die Hoster reagiert haben
Die folgenden Angaben beschreiben den Stand am Abend des 21. Oktober. Die verlinkten Meldungen werden von den Anbietern fortgeschrieben. Eine Aussage zum Webhosting lässt sich dabei nicht automatisch auf selbst verwaltete Server desselben Anbieters übertragen.
Raidboxes
Der Raidboxes-Support hat BenzDigital am 21. Oktober direkt mitgeteilt, dass die offiziell unterstützten PHP-Versionen 8.2 bis 8.5 gepatcht wurden. Für ältere Versionen werde an der Rückportierung der Korrekturen gearbeitet. Das war eine konkrete Supportauskunft an uns.
Die öffentliche Statusseite zeigte beim Abruf alle Systeme als betriebsbereit und keinen gemeldeten Vorfall für diesen Tag. Diese Verfügbarkeitsanzeige ist für sich genommen kein Nachweis über die installierten Sicherheitskorrekturen. Für ältere PHP-Versionen oder besondere Umgebungen bleibt die konkrete Bestätigung des Anbieters entscheidend.
Hetzner
Hetzner meldete zunächst Schutzmaßnahmen und den Start der Aktualisierung. Mit dem Update von 19:50 Uhr MESZ bestätigte der Anbieter, dass PHP 7.4 sowie 8.0 bis 8.5 auf allen Webhosting- und Managed-Servern durch gepatchte Versionen ersetzt wurden. Für noch ältere PHP-Versionen liefen die Arbeiten an Rückportierungen weiter. Die Meldung nennt außerdem den Rollout für eigene Dienste wie konsoleH, Storage Share, phpMyAdmin und Webmail. Hetzner-Statusmeldung
Wer einen eigenen Cloud- oder Dedicated-Server administriert, sollte daraus keine automatische Aktualisierung der dort selbst installierten PHP-Umgebung ableiten.
IONOS
IONOS berichtete um 17:44 Uhr MESZ über laufende Sicherheitsupdates und rechnete mit einem Abschluss innerhalb der folgenden 24 Stunden. Währenddessen seien Verzögerungen oder kurze Unterbrechungen möglich. Betreiber selbst verwalteter Anwendungen auf VPS oder Bare-Metal-Servern wurden ausdrücklich zum eigenen Update aufgefordert. IONOS-Sicherheitswartung
Zusätzlich wurden Nextcloud-Instanzen vorsorglich deaktiviert. Die zugehörige Meldung von 19:42 Uhr beschrieb weiterhin Arbeiten an der Wiederherstellung. Eine vollständige Entwarnung für diese Dienste war damit noch nicht verbunden. IONOS-Meldung zu Nextcloud
STRATO
STRATO veröffentlichte im Hilfebereich einen Hinweis zur Sicherheitswartung, datiert auf den 21. Oktober, 14 Uhr. Darin meldete der Anbieter laufende Updates auf seinen Systemen und einen erwarteten Abschluss innerhalb von 24 Stunden. Websites und Dienste könnten währenddessen langsam reagieren oder kurzzeitig ausfallen. Auch STRATO forderte Betreiber selbst verwalteter VPS- und Bare-Metal-Anwendungen auf, PHP selbst zu aktualisieren. Aktueller Hinweis bei STRATO
Der angezeigte Zeitstempel belegt den Stand der Mitteilung; einen Abschluss sämtlicher Updates bestätigt dieser Hinweis nicht.
mittwald
mittwald kündigte zunächst an, Datei-Uploads und die Verarbeitung von multipart/form-data einzuschränken. Diese Datenübertragung wird unter anderem von Formularen mit Datei-Anhängen verwendet. Entsprechend konnten auch Website-Funktionen beeinträchtigt sein.
Um 16:17 Uhr MESZ folgte die weitergehende Entscheidung, Systeme herunterzufahren und eingehenden Verkehr zu gehosteten Websites zu sperren. Um 19:46 Uhr berichtete mittwald, dass bereits einige aktualisierte PHP-Versionen eingespielt seien und die Arbeiten zur Wiederherstellung weiterliefen. Um 19:51 Uhr meldete der Anbieter das AI-Hosting wieder als erreichbar. Eine allgemeine Freigabe aller Kundenprojekte war damit noch nicht bestätigt. Empfang und Versand von E-Mails seien weiterhin möglich. mittwald zum Verlauf
cyon
cyon nahm um 15:45 Uhr vorsorglich Webhostings, Managed Server, Agencyserver, den Sitebuilder sowie my.cyon und Webmail vom Netz. Der E-Mail-Verkehr über Mailprogramme blieb laut Anbieter möglich.
In der Meldung von 17:23 Uhr erklärte cyon, die für das eingesetzte Server-Betriebssystem angepassten PHP-Pakete gegen 22 Uhr zu erwarten. Anschließend sollten sie installiert, geprüft und die Dienste schrittweise wieder freigeschaltet werden. Die meisten Websites würden voraussichtlich im Laufe der Nacht zurückkehren. Das war eine Prognose, kein bestätigter Abschluss. cyon-Statusmeldung
Welche PHP-Versionen die Korrekturen enthalten
Für die regulär unterstützten Versionszweige hat das PHP-Projekt diese Sicherheitsreleases veröffentlicht:
| Versionszweig | Sicherheitsrelease vom 21. Oktober |
|---|---|
| PHP 8.2 | 8.2.35 |
| PHP 8.3 | 8.3.36 |
| PHP 8.4 | 8.4.27 |
| PHP 8.5 | 8.5.12 |
Die Angabe „PHP 8.3“ allein reicht also nicht. Entscheidend ist die konkrete Korrektur innerhalb dieses Zweigs. PHP-Advisory mit korrigierten Versionen
Bei Paketen eines Betriebssystem- oder Hostinganbieters können Sicherheitskorrekturen zurückportiert werden. Dabei wird der Fehler in einer älteren Version behoben, ohne dass deren angezeigte Basisversion auf das neueste PHP-Release springt. Hier zählt die Bestätigung des Anbieters für die konkrete Paketversion und beide CVEs.
PHP 8.1 und älter sind außerhalb des regulären Supports des PHP-Projekts. Für diesen außergewöhnlichen Fall wurden dennoch minimale Quellcode-Rückportierungen für 7.4, 8.0 und 8.1 bereitgestellt. Das ist keine Wiederaufnahme der regulären Wartung und auch kein Beleg, dass ein Hoster diese Korrekturen bereits installiert hat. PHP-Hinweise zu Updates und Rückportierungen
Was ihr als Websitebetreiber jetzt klären solltet
Bei einem betreuten Webhosting-Paket spielt üblicherweise der Hoster die PHP-Korrekturen ein. Eure technische Betreuung kann die Rückmeldung einordnen und anschließend die Website prüfen. Auf einem selbst administrierten Server liegt die Aufgabe bei den dafür verantwortlichen Administratoren. Hinweise für Betreiber
Für die Abstimmung reichen zunächst drei konkrete Fragen:
- Enthält die PHP-Umgebung unserer Website die Korrekturen für beide Sicherheitslücken? Bezieht auch Subdomains und erreichbare Testumgebungen ein.
- Welche Einschränkungen gelten noch? Dazu können gesperrte Uploads, nicht erreichbare Verwaltungsoberflächen oder ein vorgeschalteter Zugriffsschutz gehören.
- Wer prüft nach dem Update die wichtigen Abläufe? Bei einer Unternehmenswebsite sind das beispielsweise Anmeldung und Kontaktformular, im Shop zusätzlich Warenkorb, Checkout und angebundene Systeme.
Wechselt bei einer älteren Website nicht auf Verdacht von PHP 7.4 auf 8.5. Ein solcher Versionssprung kann Anpassungen an Plugins, Theme oder eigenem Code erfordern. Sicherheitskorrektur und größerer Versionswechsel müssen mit der Betreuung abgestimmt werden. Eine ungepatchte Installation sollte währenddessen nicht einfach öffentlich weiterlaufen; dafür braucht es eine wirksame vorübergehende Absicherung vor der PHP-Verarbeitung.
Ein normales WordPress-Login oder ein Wartungsplugin genügt als Schutz vor diesen Fehlern nicht. Unter mod_php kann ein Angriff bereits ansetzen, bevor der Anwendungscode startet. Ob ein vorgeschalteter Zugriffsschutz alle relevanten Wege abdeckt, muss der Betreiber der Serverumgebung beurteilen. PHP-Advisory zum Angriff vor dem Anwendungscode
Der technische Hintergrund für Administratoren
CVE-2026-109618 betrifft den Umgang mit Speichermangel. Ein Abbruch kann interne Anfragedaten in einem unvollständig initialisierten Zustand hinterlassen, den die anschließende Bereinigung fehlerhaft verarbeitet. CVE-2026-109619 betrifft internen Zustand, der nach der Freigabe seines Speichers erhalten bleibt und bei einer späteren Anfrage desselben Workers erneut verwendet werden kann. Advisory zu Speichermangel, Advisory zu veraltetem globalem Zustand
PHP-FPM ist keine pauschale Entwarnung: Das zweite Advisory beschreibt auch einen validierten FPM-Angriffspfad, der eine passende Operation innerhalb der Anwendung voraussetzt. Die konkrete Ausnutzbarkeit hängt von Betriebsart, Konfiguration und Anwendung ab.
Das PHP-Team nennt vorübergehende Konfigurationsmaßnahmen, unter anderem zur Upload-Fortschrittsverarbeitung. Sie decken jeweils bestimmte Angriffspfade ab. Eine allgemeine Konfigurationsänderung, die den vollständigen Patch ersetzt, gibt es laut Advisory nicht. Technische Grenzen der Zwischenmaßnahmen
Für die Betriebspraxis heißt das: Paketstand und Herstellerhinweis abgleichen, die tatsächlich für Webanfragen laufende PHP-Umgebung verifizieren und betroffene Worker beziehungsweise Dienste kontrolliert neu starten. Ein neues Paket auf der Festplatte oder die Ausgabe von php -v in einer Shell belegt allein noch nicht, welche Version der Webprozess verwendet. Bei Containern müssen auch die laufenden Instanzen aus dem korrigierten Image stammen.
Das BSI empfiehlt außerdem eine verstärkte Beobachtung auffälliger Aktivitäten. Ein Update schließt die Lücke für die Zukunft; eine möglicherweise vorher erfolgte Kompromittierung wird dadurch nicht automatisch rückgängig gemacht. Verdächtige Veränderungen gehören untersucht und die zugehörigen Protokolle gesichert. Empfehlungen des BSI
Was wir daraus für die Betreuung mitnehmen
In unseren heutigen Kundengesprächen ging es vor allem um zwei Dinge: verständlich erklären, warum ein Hoster eingreift, und neue Rückmeldungen zum Patchstand zügig einordnen. Eine erste Warnung und eine spätere Bestätigung eingespielter Updates können am selben Nachmittag beide richtig sein.
Für uns gehört deshalb zu einer brauchbaren Rückmeldung mehr als „läuft wieder“. Sie sollte sagen, welche Umgebung aktualisiert wurde, ob noch Einschränkungen bestehen und welche Funktionen danach geprüft wurden. Genau diese Abstimmung zwischen Hosting, Website und Geschäftsbetrieb macht laufende Betreuung aus.
Wenn ihr eine Meldung eures Hosters erhalten habt und nicht wisst, was sie für euren Shop oder eure Website bedeutet, schickt sie uns. Wir klären mit euch, welcher Schritt für eure Umgebung nötig ist. Weitere Fragen für die regelmäßige Betreuung findet ihr in unserem WordPress-Sicherheitscheck.
