Am 21. Oktober 2026 hat das PHP-Projekt Updates für zwei kritische Sicherheitslücken veröffentlicht. Betroffen sind praktisch alle Websites, die mit PHP laufen – unabhängig vom eingesetzten Content Management System (CMS). Nachfolgend erfahren Sie, was diese Situation für Ihre Website bedeutet.
Unter bestimmten Umständen kann ein Angreifer über zwei neu entdeckte Lücken ohne vorherige Anmeldung Programmcode auf dem Server ausführen. Das britische National Cyber Security Centre (NCSC) und weitere Behörden haben daraufhin entsprechende Warnungen herausgegeben. Korrigierte PHP-Versionen stehen glücklicherweise bereits zur Verfügung.
Wichtiger Hinweis: Diese Warnung bedeutet nicht automatisch, dass eine bestimmte Website bereits angegriffen oder kompromittiert wurde. Es handelt sich um eine präventive Warnmeldung.
Die beiden Schwachstellen im Detail
- CVE-2026-109618 (Speichermangel-Fehler): PHP kann mitten in der Verarbeitung einer Anfrage unterbrochen werden und danach versehentlich mit unvollständigen Daten weiterarbeiten.
- CVE-2026-109619 (Datenreste im Speicher): Interne Daten einer Anfrage bleiben nach der Freigabe des Speichers im System erhalten und können potenziell von einer späteren Anfrage weiterverwendet werden.
Welche PHP-Versionen sind sicher?
Das Risiko lässt sich über die genaue Versionsnummer definieren. Die folgenden Versionen (und neuer) sind gegen die Lücken abgesichert:
- PHP 8.2: Sicher ab Version 8.2.35
- PHP 8.3: Sicher ab Version 8.3.36
- PHP 8.4: Sicher ab Version 8.4.27
- PHP 8.5: Sicher ab Version 8.5.12
Achtung bei veralteten Versionen: Für PHP 8.1 und ältere Versionen veröffentlicht das PHP-Projekt generell keine Updates mehr – dies betrifft auch diese aktuellen Sicherheitslücken.
Betrifft das TYPO3?
Nein. Die Schwachstelle liegt direkt im Kern der Programmiersprache PHP, nicht in TYPO3, WordPress oder einem anderen CMS. Da der Angriff oft bereits erfolgt, bevor der Code der jeweiligen Website überhaupt ausgeführt wird, schliesst ein reines TYPO3-Update diese Lücke nicht. Betroffen sind zudem alle gängigen Betriebsarten (wie PHP-FPM, Apache mod_php oder CGI).
Umgekehrt gilt aber auch: Das notwendige PHP-Update erfordert in der Regel keine Anpassungen an Ihrer TYPO3-Website – Ihr Webauftritt funktioniert nach dem Update unverändert weiter.
Status für bei uns gehostete Websites
Sämtliche Websites, die direkt bei uns beziehungsweise unserem Hosting-Partner Mittwald gehostet sind, wurden bereits am 21. Oktober vorsorglich kurzzeitig heruntergefahren und noch am selben Abend mit den notwendigen Sicherheitspatches versorgt – dies galt auch für ältere PHP-Versionen.
- Aus diesem Grund waren die betreffenden Webseiten zwischen ca. 16:00 Uhr und dem späten Abend temporär nicht erreichbar (E-Mail-Dienste waren davon nicht betroffen).
- Erste Prüfungen durch den Hoster ergaben keinerlei Hinweise, dass die Lücke bei unseren Kunden ausgenutzt wurde.
- Für Sie besteht hierbei keinerlei Handlungsbedarf.
Falls Ihre Website auf einem externen Server (z. B. bei anderen Hostern wie Hetzner, Metanet etc.) läuft, hängt das Vorgehen vom jeweiligen Hosting-Modell ab:
- Shared- oder Managed-Hosting: Hier muss Ihr Hosting-Anbieter das Update einspielen. Entscheidend ist dabei die exakte Versionsnummer (z. B. 8.3.36) – die grobe Angabe „PHP 8.3“ im Kundenpanel reicht nicht aus.
- Backporting: Manche Hoster integrieren den Fix in ältere Versionsnummern. In diesem Fall ist eine schriftliche Bestätigung des Anbieters erforderlich, dass beide spezifischen Lücken geschlossen wurden.
- Eigene Server: Administratoren müssen PHP umgehend aktualisieren und sämtliche PHP-Prozesse neu starten.
- PHP 8.1 oder älter: Hier ist dringend ein Upgrade auf eine aktuelle PHP-Version angeraten (oft in Kombination mit einem TYPO3-Update).
Hinweis: Die genaue PHP-Version Ihres Systems finden Administratoren im TYPO3-Backend oben rechts über das Info-Symbol („i“ unter den Systeminformationen). Provisorische Konfigurationsanpassungen mindern das Risiko meist nur, sie ersetzen ein vollständiges Update jedoch nicht.
Unser Support für Sie
Bei Websites, die von uns betreut werden, aber auf externen Servern laufen, prüfen wir derzeit die PHP-Versionen. Da wir bei externem Hosting keinen direkten Zugriff auf die Serverumgebung haben, bitten wir Sie, sich kurz bei Ihrem Hosting-Anbieter zu erkundigen, ob die notwendigen Sicherheitsupdates fehlerfrei eingespielt wurden. Falls Sie dazu Fragen haben oder Unterstützung benötigen, melden Sie sich bitte direkt bei uns.