Sicherheitsmeldungen zu PHP gehören zum Alltag im Webhosting. Normalerweise läuft das Patching – also das Einspielen von neuen Versionen mit geschlossenen Lücken – still im Hintergrund ab. Diesmal wurden jedoch Details zu zwei neuen Sicherheitslücken öffentlich bekannt, bevor das PHP-Team einen entsprechenden Patch parat hatte. Weil PHP so weit verbreitet ist, erhielt diese Sicherheitsmeldung besonders viel Aufmerksamkeit. Wir erklären dir deshalb in Ruhe, was genau passiert ist, wie wir reagiert haben und was du als Nächstes tun kannst.
Was ist passiert? Zwei PHP-Sicherheitslücken im Überblick
Die Details zu CVE-2026-109618 und CVE-2026-109619 wurden am 20. Oktober 2026 online veröffentlicht, bevor die koordinierte Bekanntgabe und die Patches bereitstanden. Zusammengefasst werden beide Lücken unter dem Namen „PHP2Shell“. Das PHP-Team bewertet sie nach CVSS v4.0 jeweils mit 9,2. Der CVSS (Common Vulnerability Scoring System) ist ein Standard zur Einstufung von Schwachstellen auf einer Skala von 0 bis 10. Werte ab 9,0 gelten als kritisch.
Was bedeutet Remote Code Execution?
Beide Lücken gehören zur Kategorie Remote Code Execution (RCE). Dabei könnte ein Angreifer über das Netzwerk eigenen Programmcode auf einem Server ausführen lassen. Deshalb stufen das PHP-Team und Fachleute die Lücken als kritisch ein. Technisch geht CVE-2026-109618 auf Speicherkorruption nach einem Speicherüberlauf zurück, CVE-2026-109619 auf einen globalen Zustand, der nach dem Ende einer Anfrage im Speicher verbleibt.
Welche PHP-Versionen sind betroffen?
Laut PHP sind alle Installationen betroffen, die Webanfragen ausliefern, etwa über PHP-FPM, Apache mit mod_php, php-cgi, FrankenPHP oder LiteSpeed. Behoben sind die Lücken in den Versionen 8.5.12, 8.4.27, 8.3.36 und 8.2.35. Ersten Hinweisen zufolge könnten auch ältere Versionen ab PHP 5 betroffen sein. Für diese älteren Zweige gibt es allerdings keine Updates mehr. Die offizielle Ankündigung findest du im PHP-Archiv auf php.net.
Was wir getan haben: Patches sind eingespielt
Wir haben die Patches am 21. Oktober 2026 direkt nach Veröffentlichung um 16 Uhr auf allen Systemen eingespielt. Die Arbeiten waren im Verlauf der Nacht auf den 22. Oktober abgeschlossen. Den aktuellen Stand und unsere Sicherheitsinformation zu den PHP-Lücken findest du jederzeit auf status.hosttech.eu.
Auf vielen unserer Server und bei all unseren Webhostings setzen wir seit Längerem zusätzlich Imunify360 ein. Die Lösung erkennt verdächtige Aktivitäten frühzeitig und hilft, Angriffe abzuwehren. Sie ist eine zusätzliche Schutzebene, ersetzt aber keine Sicherheitsupdates. Imunify360 hat bereits am 20. Oktober automatisch erste Schutzmaßnahmen ergriffen, wodurch für Websites auf unseren Hostings nur noch ein sehr geringes Risiko bestand.
Ein Herunterfahren von Servern oder Abschalten von Websites war unsererseits nicht nötig aufgrund der schnellen Reaktionszeiten. Systemadministratoren, Developer und Support haben seit Bekanntwerden der Lücken mit Hochdruck an der Behebung des Problems gearbeitet. An dieser Stelle ein großer Dank ans ganze Team!
Was du tun kannst: PHP-Version prüfen
Die Server-Patches schließen die Lücken in den unterstützten PHP-Versionen. Welche Version deine Domain verwendet, legst aber du fest. Deshalb lohnt sich ein kurzer Check:
- PHP 8.2 oder neuer: Du bist auf einer Version, die Sicherheitsupdates erhält. In der Regel musst du nichts weiter tun. Beachte aber, dass PHP 8.2 nur noch bis Ende 2026 Sicherheitsupdates erhält.
- Älter als PHP 8.2: Für diese Versionen gibt es keine regulären Sicherheitsupdates mehr. Wir empfehlen dir, zeitnah auf eine aktuelle, unterstützte Version zu wechseln.
Wir empfehlen dringend, mindestens PHP 8.2 zu verwenden, da dies derzeit die älteste PHP-Version ist, die noch offizielle Sicherheitsupdates erhält. Laut Release-Plan von PHP erhält aber auch PHP 8.2 nur noch bis Ende 2026 Sicherheitsupdates. Wenn du also ohnehin von einer älteren Version umstellst, wähle am besten gleich eine neuere Version. Neue PHP-Versionen bringen zudem neue Möglichkeiten für Entwickler:innen und laden Websites meist schneller. Welche Versionen bei uns verfügbar sind, zeigt die Übersicht PHP-Versionen.
PHP-Update durchführen: Schritt für Schritt in Plesk
Die PHP-Version stellst du pro Domain im Plesk Control Panel ein. Eine ausführliche Anleitung mit Video findest du im Support-Artikel Wie ändere ich die PHP-Version?.
Vorbereitung: Version prüfen und Backup anlegen
- Aktuelle Version feststellen: In Plesk siehst du sie in den PHP-Einstellungen der Domain. In WordPress zeigt sie der Bereich „Website-Zustand“ unter „Werkzeuge“.
- Sicherung erstellen: Mit einem aktuellen Backup kannst du bei Problemen jederzeit zurückgehen.
Die Anleitung in fünf Schritten
- Logge dich im Plesk Control Panel ein. Alternativ gehst du im Kundencenter auf „Servercenter“, wählst dein Hosting aus und klickst auf „Login Control Panel“. Eine Übersicht der Zugänge findest du unter Login-Adressen.
- Auf der Seite „Website & Domains“ siehst du alle installierten Domains.
- Klicke bei der betreffenden Domain auf das Symbol „PHP-Einstellungen“.
- Unter „PHP-Unterstützung“ wird deine aktuelle Version angezeigt. Im Dropdown-Menü wählst du die gewünschte Version.
- Scrolle ans Ende der Seite und speichere mit „OK“.
Die neue Version ist danach hinterlegt, die Einstellungen müssen aber noch aktualisiert werden. Das kann bis zu 20 Minuten dauern. Wiederhole die Schritte für jede weitere Domain, die noch auf einer älteren Version läuft.
Nach dem Update: Website testen
Rufe nach der Umstellung deine wichtigsten Seiten auf und teste zentrale Funktionen wie Kontaktformular, Login oder Checkout im Onlineshop. Zeigt die Seite Fehlermeldungen, liegt es meist an veralteten Plugins, Themes oder eigenem Code, die mit der neuen Version nicht kompatibel sind. Dann aktualisierst du diese Komponenten oder wählst schrittweise eine etwas tiefere Version, die noch Sicherheitsupdates erhält.
Sonderfälle: WordPress, Rootserver und vServer
WordPress und andere Content-Management-Systeme: Aktualisiere vor dem PHP-Wechsel das System selbst sowie alle Plugins und Themes. Viele ältere Erweiterungen laufen nur auf alten PHP-Versionen und sind oft die Ursache, wenn nach einem Update etwas nicht mehr funktioniert. Nicht mehr genutzte Plugins löschst du am besten ganz.
Eigene Server: Betreibst du einen Rootserver oder vServer selbst, bist du für die Updates deines Systems verantwortlich. Prüfe mit php -v, welche PHP-Version installiert ist, und spiele die Updates deiner Distribution ein.
Fazit
Die PHP-Lücken wurden schnell geschlossen: Das PHP-Team hat einen Tag nach der vorzeitigen Veröffentlichung Patches bereitgestellt, und wir haben sie noch am selben Tag auf allen hosttech-Systemen eingespielt. Für Websites auf PHP 8.2 oder neuer ist damit in der Regel alles erledigt. Läuft deine Domain noch auf einer älteren Version, ist jetzt ein guter Zeitpunkt für das PHP-Update. In Plesk dauert es nur wenige Minuten. Falls du dabei Unterstützung brauchst, hilft dir unser Support-Team gerne. Eine Schritt-für-Schritt-Anleitung inklusive Video findest du in unserem Support-Artikel „Wie ändere ich die PHP-Version„. Mit einem soliden Webhosting-Paket und regelmäßigen Backups bist du auch für künftige Sicherheitsvorfälle gut aufgestellt.
FAQ zu PHP-Updates
Muss ich wegen der PHP-Sicherheitslücken etwas tun?
Das hängt von deiner PHP-Version ab. Läuft deine Website auf PHP 8.2 oder neuer, sind die Lücken bei hosttech auf Serverebene gepatcht. Verwendest du eine ältere Version, solltest du zeitnah auf eine unterstützte Version wechseln, da es dafür keine Sicherheitsupdates mehr gibt. Da auch PHP 8.2 nur noch bis Ende dieses Jahres Sicherheitsupdates bekommt, empfehlen wir direkt ein Update auf eine der höheren Versionen.
Wie finde ich heraus, welche PHP-Version meine Website nutzt?
In Plesk siehst du die Version unter „PHP-Einstellungen“ bei der jeweiligen Domain. In WordPress findest du sie im Bereich „Website-Zustand“ unter „Werkzeuge“. Auf eigenen Servern gibt der Befehl php -v die installierte Version aus.
Wie lange dauert ein PHP-Update in Plesk?
Das Umstellen selbst geht in wenigen Klicks. Danach dauert es bis zu 20 Minuten, bis die Einstellungen aktiv sind. Wichtig: Erstelle vor der Umstellung ein Backup deiner Seite und plane unbedingt auch Zeit für den anschließenden Test deiner Website ein. Sollte nach dem Update irgendetwas nicht korrekt funktionieren, kannst du so nochmals zurück und das entsprechende Problem beheben.
Was kann bei einem PHP-Update schiefgehen?
Am häufigsten verursachen veraltete Plugins, Themes oder individuell programmierte Funktionen Fehler, weil sie mit der neuen Version nicht kompatibel sind. Mit einem aktuellen Backup und einem Test direkt nach der Umstellung bist du auf der sicheren Seite.
Wo sehe ich den aktuellen Stand bei hosttech?
Die Statusseite status.hosttech.eu zeigt den Zustand aller Systeme und enthält die Sicherheitsinformation zu den PHP-Lücken. Dort kannst du außerdem Updates abonnieren.
