PHP-Sicherheitslücke: Vorsorglich abgeschaltet und noch am selben Tag wieder online

Am 21. Oktober 2026 haben wir bei STEILSTARTER unsere Server wegen kritischer Sicherheitslücken in PHP vorsorglich vom Netz genommen. Die Sicherheitsupdates haben wir unmittelbar nach ihrer Bereitstellung eingespielt. Noch am selben Tag konnten die Websites nach unserer Prüfung wieder online gehen.

Eine Website abschalten, um sie zu schützen? Für unsere Kunden bedeutete diese Entscheidung zunächst: Ihre Seiten waren vorübergehend nicht erreichbar. Für ein Unternehmen ist das ärgerlich. Besucher können sich nicht informieren, Kontaktformulare bleiben ungenutzt und mögliche Anfragen aus.

Trotzdem haben wir uns in dieser Situation bewusst für die vorübergehende Abschaltung entschieden. Wir wollten das Risiko eines Angriffs begrenzen, bis die Sicherheitsupdates eingespielt und die Absicherung geprüft waren.

Was war passiert? Die PHP-Sicherheitslücken CVE-2026-109618 und CVE-2026-109619

Am 21. Oktober 2026 veröffentlichte das PHP-Team Sicherheitsupdates für zwei kritische Schwachstellen. Beide können unter bestimmten Bedingungen eine Remote Code Execution (RCE) ermöglichen. Das bedeutet: Angreifer könnten ohne vorherige Anmeldung eigenen Code auf einem betroffenen Server ausführen.

Die Sicherheitslücken tragen folgende Bezeichnungen:

• CVE-2026-109618 – „RCE via OOM corruption“: Ein Fehler beim Umgang mit erschöpftem Arbeitsspeicher kann dazu führen, dass PHP unvollständig initialisierte interne Daten weiterverarbeitet. Dadurch kann eine ausnutzbare Speicherbeschädigung entstehen.
• CVE-2026-109619 – „RCE via stale global state“: Interne Zustandsdaten können auf bereits freigegebenen Speicher verweisen. Bei einer späteren Anfrage können diese ungültigen Verweise erneut verwendet werden.

PHP ist eine technische Grundlage vieler Websites, darunter auch TYPO3 und WordPress. Die Schwachstellen betreffen PHP selbst. Ein Update des Redaktionssystems allein reicht deshalb nicht aus, um diese PHP-Sicherheitslücken zu schließen.

Die Korrekturen wurden in PHP 8.2.35, 8.3.36, 8.4.27 und 8.5.12 veröffentlicht. Je nach Hostingumgebung können sie auch über entsprechend korrigierte Pakete des Betriebssystemanbieters bereitgestellt werden.

Für Websitebetreiber ist entscheidend: Am Aussehen oder an der Erreichbarkeit einer Website lässt sich nicht erkennen, ob die Sicherheitsupdates bereits installiert wurden.

Warum wir unsere Server vorsorglich abgeschaltet haben

Bei einer kritischen Sicherheitsmeldung müssen Verantwortliche bewerten, welche Systeme betroffen sind und wie sich das Risiko kurzfristig begrenzen lässt.

Wir haben unsere Server vorsorglich vom Netz genommen. Die damit verbundene Unterbrechung war eine bewusste Schutzmaßnahme.

Das bedeutet nicht, dass jede Website in einer solchen Situation zwangsläufig abgeschaltet werden muss. Welche Maßnahmen erforderlich sind, hängt von der eingesetzten Technik, der konkreten Gefährdung und den verfügbaren Schutzmöglichkeiten ab. Für unsere Systeme haben wir uns für diesen Weg entschieden.

Sicherheitsupdates eingespielt und am selben Tag wieder online

PHP stellte die passenden Sicherheitsupdates noch am 21. Oktober bereit. Wir haben sie direkt eingespielt und die Absicherung anschließend geprüft. Danach konnten wir die Websites noch am selben Tag wieder online stellen.

Damit war die vorübergehende Abschaltung beendet und die bekannten PHP-Sicherheitslücken waren durch die Updates auf unseren Systemen behoben.

Für unsere Kunden ist besonders wichtig: Sie mussten die technische Meldung weder selbst einordnen noch die Aktualisierung organisieren. Wir haben die erforderlichen Maßnahmen übernommen.

Deine Website läuft. Aber wurde sie auch aktualisiert?

Ob andere Betreiber die Updates ebenfalls sofort installiert haben, wissen wir nicht. Genau deshalb lohnt sich eine konkrete Nachfrage.

Eine erreichbare Website ist kein Nachweis dafür, dass die aktuellen Sicherheitsupdates installiert wurden.

Umgekehrt bedeutet ein durchgehender Betrieb auch nicht, dass ein Dienstleister untätig war. Updates können je nach System und Vorgehen ohne längere sichtbare Unterbrechung eingespielt werden.

Entscheidend ist deshalb, ob die betroffenen Systeme erkannt, die passenden Updates installiert und die Maßnahmen überprüft wurden.

Als Unternehmer kannst du deinem Dienstleister diese drei Fragen stellen:

• Setzt unsere Website PHP ein und war unser System von den gemeldeten Sicherheitslücken betroffen?
• Sind die passenden Sicherheitsupdates bereits installiert?
• Wurden die Absicherung und der Betrieb anschließend geprüft?

Bitte um eine konkrete Rückmeldung zu deiner Website. Ein allgemeines „Wir kümmern uns um Sicherheit“ beantwortet diese Fragen noch nicht.

Zu einer Website gehört jemand, der Verantwortung übernimmt

Bei Websites sprechen Unternehmen häufig über Gestaltung, Inhalte und Sichtbarkeit. Der technische Betrieb fällt meist erst dann auf, wenn etwas nicht funktioniert.

Doch auch Sicherheitsmeldungen bewerten, Updates installieren und bei Bedarf kurzfristig handeln gehören zur Betreuung einer Unternehmenswebsite. Dafür braucht es klare Zuständigkeiten zwischen Unternehmen, Agentur und Hostinganbieter.

Der Vorfall vom 21. Oktober zeigt, wie schnell aus einer technischen Meldung eine geschäftliche Entscheidung wird. Bei STEILSTARTER haben wir vorsorglich abgeschaltet, die bereitgestellten Updates unmittelbar eingespielt und die Websites noch am selben Tag wieder online gestellt.

Du weißt nicht, wer sich um die technische Sicherheit deiner Website kümmert? Dann ist jetzt ein guter Zeitpunkt, das zu klären. Sprich uns an.

Stand: 22. Oktober 2026

Technische Quelle: Offizielle Sicherheitsmeldung des PHP-Teams