Kritische PHP-Sicherheitslücken: Ihr Hosting ist gepatcht – Ihre Anwendung auch?
Am 21. Oktober 2026 hat das PHP-Projekt Patches zu zwei Schwachstellen veröffentlicht, die es in sich haben: CVE-2026-109618 und CVE-2026-109619, beide nach CVSS 4.0 mit 9,2 von 10 bewertet. Die Einstufung legt nahe, dass Angreifer unter bestimmten Bedingungen aus der Ferne Schadcode auf Webservern mit PHP-Anwendungen ausführen könnten – betroffen sind damit potenziell WordPress-Websites, Shopware-Shops, Odoo-Systeme und Eigenentwicklungen gleichermaßen.
Seriöse Hosting-Anbieter haben die abgesicherten PHP-Versionen längst eingespielt – unser Hosting-Partner Hostingwerft etwa hat sämtliche Systeme unmittelbar nach Veröffentlichung aktualisiert. Damit ist die halbe Miete bezahlt. Aber eben nur die halbe.
Warum ein gepatchter Server nicht automatisch eine sichere Anwendung bedeutet
Der Server-Patch schließt die aktuelle Lücke in der PHP-Laufzeitumgebung. Was er nicht kann: Ihre Anwendung auf eine unterstützte PHP-Version heben. Und genau da liegt bei vielen gewachsenen Projekten das eigentliche Problem – denn PHP-Versionen unterhalb von 8.2 erhalten keine Sicherheitsupdates mehr und sollten nicht mehr produktiv eingesetzt werden. Wer heute noch auf PHP 8.1, 8.0 oder 7.x läuft, bekommt die nächste Lücke schlicht nicht mehr geschlossen – egal wie gut das Hosting gepflegt ist.
Der Grund für alte Versionen ist dabei selten Bequemlichkeit, sondern fast immer der Anwendungscode: das Theme von 2019, das nicht mehr gepflegte Plugin, das Shopware-Modul eines verschwundenen Herstellers, die Individualentwicklung, an die sich niemand mehr herantraut. Das Resultat ist ein Teufelskreis – die Anwendung verhindert das PHP-Update, das veraltete PHP wird zum wachsenden Risiko.
So lösen wir das: planbar statt im Notfallmodus
Genau diese Modernisierungen sind unser Tagesgeschäft. Ein typischer Upgrade-Pfad bei uns sieht so aus:
Bestandsaufnahme: Welche PHP-Version läuft wo, welche Themes, Plugins, Module und Schnittstellen sind im Einsatz, was davon ist kompatibel, was nicht? Oft betrifft das nicht nur die sichtbare Website, sondern auch Importskripte, Cronjobs und vergessene Subdomains.
Kompatibilität herstellen: Wir aktualisieren oder ersetzen inkompatible Komponenten, passen Eigenentwicklungen an und testen alles auf einer Staging-Umgebung – Checkout, Formulare, Schnittstellen zu ERP und Zahlungsdiensten inklusive.
Kontrollierter Rollout: Umstellung auf eine aktuelle PHP-Version mit Backup und Rückfallplan, anschließend Kontrolle von Logs und Kernprozessen. Kein Aktionismus, keine Überraschungen.
Dauerhaft aktuell bleiben: Damit die nächste Sicherheitsmeldung ein Routinetermin wird statt ein Feuerwehreinsatz, übernehmen wir die laufende Pflege im Wartungsvertrag – für WordPress, Shopware und Odoo.
Die drei Fragen, die Sie Ihrem Team jetzt stellen sollten
Ob Sie akut handeln müssen, beantworten drei kurze Fragen: Auf welcher PHP-Version laufen unsere Anwendungen – wirklich alle, auch die Nebenschauplätze? Wer hat nach dem 21. Oktober geprüft, dass die Patches bei uns angekommen sind? Und gibt es einen Plan, Anwendungen von PHP-Versionen unter 8.2 herunterzuholen?
Wenn eine dieser Fragen ein Achselzucken auslöst, ist das kein Grund zur Panik – aber ein guter Grund für ein Gespräch. Wir verschaffen Ihnen in einem kurzen Check Klarheit über Ihren Stand und einen realistischen Weg auf aktuelle, unterstützte Versionen. Ehrlich, planbar und ohne Drama.
Jetzt Erstgespräch buchen – kostenlos und unverbindlich.