PHP-Notfallpatch: Weißt du, wer deinen Server updatet?

Der Samurai wollte im Hosting-Panel PHP 8.4 auswählen, mit Panzerhandschuhen. Jetzt läuft die Seite auf 5.6.

Damit ist die wichtigste Information schon raus: Die PHP-Version deiner Website ist ein Dropdown, das irgendwer irgendwann eingestellt hat. Diese Woche ist ein guter Grund, nachzusehen, wer.

Was passiert ist

Am 20. Oktober hat das PHP-Projekt eine Notfall-Sicherheitsversion angekündigt, am 21. Oktober kam sie: PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35. Behoben werden zwei Lücken (CVE-2026-109618 und CVE-2026-109619), über die Angreifer ohne Login eigenen Code auf dem Server ausführen können. Bewertung laut PHP: jeweils 9,2 von 10 nach CVSS 4.0. PHP schreibt selbst, dass nur das Update die Lücke vollständig schließt. Einstellungen in der Konfiguration bremsen höchstens.

Das Canadian Centre for Cyber Security meldete am 21. Oktober, dass ein Proof of Concept kursieren soll, aktive Angriffe aber noch nicht beobachtet wurden. BleepingComputer berichtete am selben Tag, Cloudflares CTO habe erste Angriffe gesehen und vorübergehende Firewall-Regeln ausgerollt. Am 23. Oktober schob PHP noch einen Hinweis nach: Bis zum nächsten Bugfix-Release soll session.upload_progress.enabled=0 gesetzt werden.

Betroffen sind alle PHP-Installationen, die Webanfragen beantworten. Also sehr wahrscheinlich deine Website, wenn sie auf WordPress, Shopware, TYPO3 oder einem anderen PHP-System läuft.

Das eigentliche Problem ist nicht die Lücke

Lücken passieren. Das Problem ist die Frage, die danach in vielen Firmen niemand beantworten kann: Wer spielt das Update ein?

Die Agentur hat die Seite gebaut. Der Hoster betreibt den Server. Das Plugin-Update klickt jemand aus dem Marketing. Und PHP liegt genau dazwischen. Bei Managed Hosting aktualisiert meist der Anbieter, bei Shared Hosting wählst du oft selbst die Version im Panel, beim eigenen Server ist es ganz deins. Unsere Meinung: Wenn das nicht schriftlich geklärt ist, ist niemand zuständig.

Dazu kommt das Alter. PHP 8.1 und älter bekommen vom PHP-Projekt keine Updates mehr. Für 7.4, 8.0 und 8.1 gibt es diesmal nur minimale Backports, und manche Linux-Distributionen und LTS-Anbieter flicken alte Versionen selbst. Eine alte Versionsnummer heißt also nicht automatisch ungepatcht. Aber es heißt, dass du fragen musst, statt zu hoffen.

Durch den Sehschlitz seines Helms sieht der Samurai etwa eine Zeile Advisory auf einmal. Bei PHP 8.1 reicht eine: keine Updates mehr.

Und wer jetzt auf 8.2 steht: Der Sicherheitssupport für 8.2 endet am 31. Dezember 2026. Das ist in gut neun Wochen, mitten in der Zeit, in der alle im Urlaub sind.

Übung für diese Woche

1. Finde deine PHP-Version heraus. Im Hosting-Panel steht sie meist unter „PHP-Einstellungen“, in WordPress unter Werkzeuge → Website-Zustand → Bericht → Server.
2. Schreib deinem Hoster oder deiner Agentur eine Mail mit genau zwei Fragen: Ist unser PHP auf 8.5.12, 8.4.27, 8.3.36 oder 8.2.35 oder mit einem Backport gepatcht? Und wer ist ab jetzt dafür zuständig?
3. Stehst du auf 8.2 oder älter, plan den Umstieg auf 8.4 oder 8.5 noch vor Jahresende. Vorher auf einer Testkopie, weil alte Plugins und Themes dabei gern ausfallen.

Und das Dropdown bedienst du am besten ohne Handschuhe.