Kritische Sicherheitslücke in PHP: Warum Sie jetzt sofort Ihre Website prüfen müssen

Eilmeldung: In der Programmiersprache PHP – der technischen Grundlage von WordPress, Joomla, Typo3 sowie den meisten Online-Shops (wie WooCommerce oder Shopware) – wurden zwei kritische Schwachstellen entdeckt. Angreifer können darüber unter Umständen ohne jegliche Zugangsdaten die vollständige Kontrolle über eine Website übernehmen.

Da die technischen Details der Lücke bereits öffentlich bekannt sind, laufen automatisierte Angriffe im Netz bereits. Website-Betreiber müssen daher unverzüglich handeln.

Auf einen Blick: Welche PHP-Versionen gelten als geschützt – und welche nicht?

🟢 Laut Angaben geschützt (Angeblich sichere Versionen)

Laut den Entwicklern gelten ausschließlich die frisch im Oktober 2026 veröffentlichten Sicherheits-Patches als abgesichert. Ihre Website ist nach derzeitigem Stand nur dann geschützt, wenn sie auf exakt einer dieser spezifischen Unterversionen läuft:

• PHP 8.2.35 (Hauptversion PHP 8.2 erschien im Dezember 2022) JPG
• PHP 8.3.36 (Hauptversion PHP 8.3 erschien im November 2023) JPG
• PHP 8.4.27 (Hauptversion PHP 8.4 erschien im November 2024) JPG
• PHP 8.5.12 (Hauptversion PHP 8.5 erschien im November 2025) JPG

🔴 Definitiv NICHT geschützt (Akut gefährdet / Handlungsbedarf)

Eine Website ist in folgenden zwei Szenarien direkt angreifbar:

1. Veraltete Hauptversionen (Keine Sicherheitsupdates mehr verfügbar):
   • PHP 7.4 (Erscheinungsjahr 2019, End-of-Life seit November 2022) JPG
   • PHP 8.0 (Erscheinungsjahr 2020, End-of-Life seit November 2023) JPG
   • PHP 8.1 (Erscheinungsjahr 2021, End-of-Life seit November 2024) JPG
   • $\rightarrow$→ Für diese veralteten Versionen gibt es keine Updates mehr! Websites, die auf diesen Versionen betrieben werden, müssen zwingend auf PHP 8.2 (2022) oder höher umgestellt werden. JPG+ 1
2. Ungepatchte Zwischenstände der unterstützten Versionen:
   • PHP 8.2 (alle Versionen älter als 8.2.35, z. B. 8.2.34)
   • PHP 8.3 (alle Versionen älter als 8.3.36, z. B. 8.3.35)
   • PHP 8.4 (alle Versionen älter als 8.4.27)
   • PHP 8.5 (alle Versionen älter als 8.5.12)
   • $\rightarrow$→ Diese Versionen enthalten die Schwachstelle nach wie vor und müssen auf die neu herausgegebenen Patch-Stände aktualisiert werden.

Chronologische Übersicht & Support-Status

Achtung: Hosting-Anbieter erzwingen womöglich automatische Updates

Aufgrund der Schwere der Sicherheitslücke ist davon auszugehen, dass viele Hosting-Anbieter (wie IONOS, Strato, Hetzner, RAIDBOXES etc.) die PHP-Versionen auf ihren Servern in den kommenden Stunden automatisch und ohne vorherige Rückfrage anheben werden.

Das Risiko bei einer automatischen Umstellung:

Wird eine Website beispielsweise automatisch von PHP 8.1 (aus 2021) auf PHP 8.2 (aus 2022) oder höher umgestellt, kann nicht garantiert werden, dass die Website danach fehlerfrei weiterläuft:

• Inkompatible Plugins oder Themes können Abstürze verursachen. JPG
• Wichtige Funktionen (z. B. Kontaktformulare, Warenkörbe oder Bezahlprozesse) fallen aus. JPG
• Im schlimmsten Fall zeigt die Website einen schwerwiegenden Systemfehler („White Screen of Death“). JPG

Was müssen Sie jetzt tun? (Checkliste)

Fehler beheben / Hilfe holen: Sollte nach der Umstellung etwas nicht wie gewohnt funktionieren, kontaktieren Sie umgehend Ihren Webentwickler oder Ihre Agentur, um auftretende Inkompatibilitäten zügig zu beheben. JPG

PHP-Version prüfen: Loggen Sie sich bei Ihrem Hosting-Anbieter oder im Dashboard Ihrer Website (z. B. bei WordPress unter Werkzeuge →\rightarrow→ Website-Zustand) ein und prüfen Sie die aktiv genutzte PHP-Version. JPG

Update durchführen:

Bei PHP 7.4 / 8.0 / 8.1: Stellen Sie im Hosting-Panel umgehend auf eine unterstützte Version (PHP 8.2, 8.3, 8.4 oder 8.5) um. JPG

Bei PHP 8.2+: Vergewissern Sie sich, dass der neueste Sicherheitspatch (8.2.35, 8.3.36, 8.4.27 oder 8.5.12) auf dem Server aktiv ist. JPG

Website gründlich testen: Rufen Sie Ihre Website nach der Umstellung auf und prüfen Sie alle Kernfunktionen (Startseite, Kontaktformulare, Shop-Checkout).