---
title: "PHP-Update: Kritische Sicherheitslücken im Oktober 2026"
description: "Welche PHP-Versionen die aktuellen Sicherheitslücken schließen, wie Sie Ihre Version prüfen und wer das Update bei externem Hosting übernehmen muss."
canonical: "https://www.bajorat-media.com/blog/php-update-sicherheitsluecken-oktober-2026/"
locale: "de"
collection: "blog"
lastModified: "2026-10-21T18:55:23.000Z"
image: "https://www.bajorat-media.com/assets/img/blog/php-update-sicherheitsluecken-oktober-2026-titelbild.webp"
---

# PHP-Update: Kritische Sicherheitslücken im Oktober 2026

Welche PHP-Versionen die aktuellen Sicherheitslücken schließen, wie Sie Ihre Version prüfen und wer das Update bei externem Hosting übernehmen muss.

Das PHP-Update vom 21. Oktober 2026 schließt zwei kritische Sicherheitslücken, über die Angreifer unter bestimmten Bedingungen aus der Ferne Code auf einem Webserver ausführen können. Für Website-Betreiber heißt das: Die tatsächlich verwendete PHP-Version und den Sicherheitsstand beim Hoster prüfen und verfügbare Updates umgehend installieren lassen. Auch eine vollständig aktualisierte WordPress-Website benötigt dieses Update der Serverumgebung.

## Warum das aktuelle PHP-Update dringend ist

PHP führt auf dem Server den Programmcode vieler Websites aus, darunter WordPress und WooCommerce. Die jetzt veröffentlichten Korrekturen betreffen diese technische Grundlage. Ein Angreifer braucht für die beschriebenen Angriffswege kein Benutzerkonto auf der Website.

Die beiden Sicherheitslücken heißen CVE-2026-109618 und CVE-2026-109619. Die offiziellen Meldungen bewerten sie jeweils mit 9,2 von 10 Punkten nach CVSS v4.0 als kritisch. Die [erste Schwachstelle betrifft die Verarbeitung von Speicherfehlern](https://github.com/php/php-src/security/advisories/GHSA-w8hw-w9fx-j79w). Bei der [zweiten können ungültig gewordene interne Zustände zwischen Anfragen erhalten bleiben](https://github.com/php/php-src/security/advisories/GHSA-6wmf-4rv5-p3rp).

Betroffen sind PHP-Umgebungen, die Webanfragen verarbeiten, unter anderem PHP-FPM, Apache mit mod_php, CGI, FrankenPHP und LiteSpeed. Das PHP-Projekt hebt mod_php besonders hervor: Dort wurde laut [technischer Sicherheitsmeldung](https://github.com/php/php-src/security/advisories/GHSA-w8hw-w9fx-j79w) eine vollständige Codeausführung demonstriert, die bereits vor dem Start des eigentlichen Website-Codes möglich ist. Daraus folgt keine Aussage, dass jede Website bereits angegriffen wurde. Es begründet aber die hohe Priorität des Updates.

**Ein WordPress-, Theme- oder Plugin-Update allein schließt diese PHP-Sicherheitslücken nicht.** Die korrigierte PHP-Laufzeit muss auf dem Server installiert und für die Website aktiv sein. Dazu müssen die betroffenen PHP-Prozesse nach dem Update neu gestartet werden. Ein Security-Plugin ersetzt diese Arbeit ebenfalls nicht.

## Welche PHP-Versionen schließen die Sicherheitslücken?

Das PHP-Projekt hat am 21. Oktober 2026 folgende Sicherheitsversionen veröffentlicht. Die Tabelle zeigt zugleich, wie lange der jeweilige Versionszweig laut [offizieller PHP-Supportübersicht](https://www.php.net/supported-versions.php) Sicherheitsupdates erhält.

| PHP-Zweig | Sicherheitsupdate vom 21.10.2026 | Sicherheitsunterstützung bis |
| --- | --- | --- |
| PHP 8.2 | 8.2.35 | 31. Dezember 2026 |
| PHP 8.3 | 8.3.36 | 31. Dezember 2027 |
| PHP 8.4 | 8.4.27 | 31. Dezember 2028 |
| PHP 8.5 | 8.5.12 | 31. Dezember 2029 |

Diese Patchstände schließen die beiden hier beschriebenen Lücken in den jeweiligen Zweigen. Erscheinen weitere Sicherheitsupdates, sind auch diese zu berücksichtigen. Die [PHP-Veröffentlichungsmeldungen vom 21. Oktober](https://www.php.net/archive/2026.php) enthalten die Details.

Bei Linux-Distributionen oder Hosting-Anbietern kann eine ältere angezeigte Versionsnummer trotzdem einen korrigierten Paketstand enthalten. Anbieter übernehmen Sicherheitskorrekturen teilweise als Backport in ihre Pakete. Lassen Sie sich deshalb bei abweichenden Versionsnummern ausdrücklich bestätigen, ob beide genannten CVEs behoben sind. Die Angabe „PHP 8.3“ allein beantwortet diese Frage nicht.

## PHP-Version prüfen: So finden Sie den Stand Ihrer Website

Maßgeblich ist die PHP-Version, mit der Ihre konkrete Website ausgeführt wird. Auf einem Hosting-Paket können mehrere Versionen parallel installiert sein. Auch Hauptdomain, Subdomains und Testumgebung können unterschiedliche Einstellungen verwenden.

### PHP-Version in WordPress anzeigen

Für WordPress brauchen Sie in der Regel weder ein zusätzliches Plugin noch eine eigene Testdatei:

1. Melden Sie sich mit einem Administratorkonto im WordPress-Backend an.
2. Öffnen Sie `Werkzeuge → Website-Zustand`.
3. Wechseln Sie auf den Reiter `Bericht` und öffnen Sie den Bereich `Server`.
4. Lesen Sie dort den Eintrag `PHP-Version` ab und notieren Sie die vollständige Nummer.

Die englische Oberfläche nennt den Bereich `Tools → Site Health → Info → Server`. Die [WordPress-Dokumentation zum Website-Zustand](https://wordpress.org/documentation/article/site-health-screen/) beschreibt diese Systeminformationen. Ein allgemeiner Hinweis auf eine empfohlene PHP-Version ist noch keine Bestätigung, dass die aktuellen Sicherheitskorrekturen installiert sind.

### PHP-Version mit einer phpinfo-Datei prüfen

Wenn Sie Zugriff auf die Website-Dateien haben, können Sie die Serverumgebung auch über `phpinfo()` anzeigen. Nutzen Sie dafür einen per Passwort oder IP-Freigabe geschützten Bereich, der dieselbe PHP-Konfiguration wie die Website verwendet. Die Ausgabe enthält technische Informationen über den Server und gehört nicht dauerhaft ins öffentliche Web.

Erstellen Sie mit einem Texteditor eine Datei namens `phpinfo-check.php` mit folgendem Inhalt:

```php
<?php
phpinfo(INFO_GENERAL);
```

Laden Sie die Datei per SFTP oder über die Dateiverwaltung des Hosters in den geschützten Bereich. Rufen Sie anschließend die zugehörige HTTPS-Adresse im Browser auf. Bei einem geschützten Unterordner `diagnose` wäre das beispielsweise `https://ihre-domain.de/diagnose/phpinfo-check.php`. Oben in der Ausgabe finden Sie die PHP-Version.

Der Parameter `INFO_GENERAL` begrenzt die Anzeige gegenüber dem vollständigen Aufruf `phpinfo();`. Auch diese reduzierte Ausgabe enthält Serverdetails und Konfigurationspfade, wie das [PHP-Handbuch zu phpinfo()](https://www.php.net/manual/en/function.phpinfo.php) erläutert. **Löschen Sie die Testdatei unmittelbar nach der Prüfung und kontrollieren Sie, dass die Adresse anschließend nicht mehr erreichbar ist.**

Wenn Sie ausschließlich die Versionsnummer benötigen, reicht als datensparsamere Alternative dieser Dateiinhalt:

```php
<?php
header('Content-Type: text/plain; charset=utf-8');
header('Cache-Control: no-store');
echo PHP_VERSION;
```

Auch diese Datei nach Gebrauch entfernen. Können Sie keinen geschützten Bereich einrichten, nutzen Sie den WordPress-Bericht oder fragen Sie den Hoster. Ein Aufruf von `php -v` per SSH zeigt dagegen zunächst die Kommandozeilenversion. Sie kann von der PHP-Version Ihrer Website abweichen.

## PHP-Version aktualisieren: Sicherheitsupdate oder Versionswechsel?

Ein Patch innerhalb eines Versionszweigs, etwa von PHP 8.3.35 auf 8.3.36, unterscheidet sich von einer Umstellung von PHP 7.4 auf PHP 8.4. Sicherheitsupdates sollten zeitnah eingespielt und anschließend geprüft werden. Ein Wechsel des Versionszweigs kann zusätzlich Anpassungen am Anwendungscode erfordern.

Bei WordPress hängen mögliche Probleme von der Kombination aus WordPress-Version, Themes, Plugins und individuellen Erweiterungen ab. Veralteter Code kann nach einer PHP-Umstellung beispielsweise einen Fehler 500 auslösen, Formulare blockieren oder den WooCommerce-Checkout unterbrechen.

Für einen Versionswechsel empfiehlt sich dieser Ablauf:

1. Dateien und Datenbank sichern und einen funktionierenden Wiederherstellungsweg festlegen.
2. Eine abgeschirmte Kopie der Website als [WordPress-Staging-Testumgebung](/blog/wordpress-staging-testumgebung-sichere-updates/) einrichten.
3. WordPress, Theme, Plugins und eigenen PHP-Code auf die Zielversion vorbereiten. Nicht mehr gepflegte Erweiterungen ersetzen oder fachlich überarbeiten.
4. Auf der Testumgebung die gewünschte PHP-Version aktivieren und Fehlerprotokolle auswerten.
5. Anmeldung, Redaktion, Formulare, E-Mail-Versand, Suche und gegebenenfalls Warenkorb, Zahlung und Bestellbestätigung testen. Zahlungs- und Mailtests gegen unbeabsichtigte echte Vorgänge absichern.
6. Mit dem Hoster die produktive Umstellung abstimmen. Danach die aktive PHP-Version erneut prüfen und die wichtigsten Abläufe auf der Live-Website testen.

![Illustration eines Update-Ablaufs von der Testumgebung über Prüfung und Freigabe bis zur produktiven Website](/assets/img/blog/wordpress-staging-testumgebung-ablauf.webp)

Bei einer kritischen Sicherheitslücke darf eine längere Migration den kurzfristigen Schutz nicht aufschieben. Klären Sie parallel mit dem Hoster, welcher korrigierte Paketstand sofort bereitsteht. Konfigurationsänderungen, die einzelne Angriffswege erschweren, ersetzen laut PHP-Projekt kein vollständiges Sicherheitsupdate.

## Von PHP 7.4, 8.0 oder 8.1 auf eine unterstützte Version wechseln

PHP 7.4, PHP 8.0 und PHP 8.1 erhalten vom PHP-Projekt keine regulären Sicherheitsupdates mehr. Für die aktuellen Lücken hat das Projekt laut [Veröffentlichungsmeldung vom 21. Oktober](https://www.php.net/archive/2026.php#2026-10-21-5) ausnahmsweise minimale Quellcodekorrekturen auch für diese alten Zweige bereitgestellt. Das ist keine Wiederaufnahme des regulären Supports. Ob Ihr Anbieter einen passenden Backport ausliefert, müssen Sie konkret erfragen.

Für die längerfristige Planung ist der Wechsel auf einen unterstützten PHP-Zweig erforderlich. PHP 8.2 gehört am 21. Oktober 2026 dazu, sein Sicherheits-Support endet jedoch bereits zum Jahresende. Für eine neue Umstellung empfehlen wir deshalb, PHP 8.3, 8.4 oder 8.5 als Ziel zu prüfen. PHP 8.2 kommt allenfalls als kurze Übergangslösung infrage. Welche Version passt, entscheidet die getestete Kompatibilität Ihrer Website zusammen mit der verbleibenden Supportdauer.

Bajorat Media unterstützt Sie bei solchen PHP-Upgrades auch dann, wenn Sie bisher kein Kunde sind. Wir untersuchen die Kompatibilität, passen individuellen Code an und beheben Probleme mit Themes oder Plugins. Bei externem Hosting stimmen wir die technischen Anforderungen mit Ihrem Anbieter ab; die serverseitige Freigabe und Installation übernimmt der zuständige Betreiber.

Wenn Ihre Website nach dem PHP-Update ausfällt oder die Umstellung an einer alten Erweiterung scheitert, hilft unser [WordPress Support](/leistungen/wordpress-support/) bei der Diagnose. Umfangreichere Anpassungen übernehmen wir im Rahmen der [WordPress-Entwicklung](/leistungen/wordpress-entwicklung/). Für eine [Projektanfrage zur PHP-Umstellung](/kontakt/) nennen Sie uns Ihre Website-Adresse, den Hoster sowie die aktuelle und gewünschte PHP-Version.

## Wichtige Information für Kunden von Bajorat Media

Unsere eigenen Server sind bereits aktualisiert. Auch die Server, die wir für Kunden betreiben, haben die entsprechenden PHP-Sicherheitsupdates erhalten.

**Liegt Ihre Website bei einem anderen Hosting-Anbieter, müssen Sie das PHP-Update direkt mit Ihrem Webhoster klären. Das gilt auch mit aktivem Wartungsvertrag bei Bajorat Media.** Lassen Sie sich bestätigen, ob die Sicherheitsupdates für CVE-2026-109618 und CVE-2026-109619 auf der für Ihre Website verwendeten PHP-Umgebung installiert wurden.

Ein aktiver [WordPress-Wartungsvertrag](/leistungen/wordpress-wartung/) gibt uns keine Verfügungsgewalt über die Server eines fremden Hosting-Anbieters. Wir können dort die serverseitigen PHP-Updates weder selbst installieren noch deren Bereitstellung erzwingen. Die Aktualisierung muss deshalb mit Ihrem Hoster geklärt werden. Bei Kompatibilitätsfragen und notwendigen Anpassungen an Ihrer Website unterstützen wir Sie weiterhin.

Sie können Ihrem Hoster dazu folgende Anfrage schicken:

> Bitte bestätigen Sie mir, ob die PHP-Umgebung meiner Website gegen CVE-2026-109618 und CVE-2026-109619 abgesichert ist. Welche PHP-Version einschließlich Paket- oder Backport-Stand ist für meine Domain aktiv? Falls die Korrekturen fehlen: Wann werden sie installiert und die betroffenen PHP-Prozesse neu gestartet?