PHP-Sicherheitslücken vom Oktober 2026: Keine Panik, das sollten Sie überprüfen

Wenn Ihnen in den letzten Tagen die Begriffe „PHP2Shell“, „kritische Sicherheitslücke“ oder „dringendes Update“ begegnet sind, haben Sie sich vielleicht gefragt, ob Ihre Website in Gefahr ist. Für die große Mehrheit von Ihnen lässt sich die Antwort in einem Satz zusammenfassen: Ihr Host kümmert sich darum, und Sie müssen nur noch überprüfen, ob es erledigt ist.

Hier erfahren Sie ohne unnötigen Fachjargon, was passiert ist, was das für eine mit WebAcappella Fusion erstellte Website bedeutet und mit welchen wenigen Prüfungen Sie beruhigt sein können.

Was ist passiert?

PHP ist die Sprache, die serverseitig einen großen Teil der Websites antreibt: WordPress, Joomla, zahlreiche Online-Shops … und die dynamischen Funktionen von WebAcappella-Websites wie das Kontaktformular, den Shop oder Seiten mit eingeschränktem Zugang.

Am 21. Oktober 2026 hat das Entwicklerteam von PHP korrigierte Versionen für zwei Sicherheitslücken veröffentlicht (Kennungen CVE-2026-109618 und CVE-2026-109619, Spitzname „PHP2Shell“). Sie gelten mit einer Bewertung von 9,2 von 10 als schwerwiegend, da sie es einem Angreifer ermöglichen könnten, einen Server eigene Befehle ausführen zu lassen, ohne ein Passwort zu benötigen.

Dass die Ankündigung so plötzlich kam, liegt daran, dass am Vortag Informationen durchgesickert waren: PHP hat die Veröffentlichung des Patches daher um einen Tag vorgezogen. Sicherheitsexperten meldeten erste Angriffsversuche, andere beobachteten noch keine – deshalb haben die Hosts schnell gehandelt. Die korrigierten Versionen lauten:

• PHP 8.5: Version 8.5.12
• PHP 8.4: Version 8.4.27
• PHP 8.3: Version 8.3.36
• PHP 8.2: Version 8.2.35
• PHP 8.1 und älter: werden vom PHP-Team nicht mehr gepflegt. Sie sind nur dann abgesichert, wenn Ihr Host den Patch selbst angepasst hat.

Ist Ihre WebAcappella-Website betroffen?

Diese Sicherheitslücken befinden sich in PHP selbst, also in der Software, die auf dem Server Ihres Hosts installiert ist. Sie befinden sich weder in WebAcappella Fusion noch in Ihrem Projekt noch im Inhalt Ihrer Website. Betroffen sind alle Websites auf einem Server mit aktivem PHP, unabhängig davon, mit welchem Tool sie erstellt wurden.

Eine mit WebAcappella veröffentlichte Website enthält immer einige PHP-Dateien, auch ohne Formular oder Shop. Es ist also unnötig herauszufinden, ob Ihre Website PHP „verwendet“: Die einzig relevante Frage ist, ob der Server, auf dem sie gehostet wird, aktualisiert wurde.

Shared Hosting: Ihr Host übernimmt die Arbeit

Die meisten WebAcappella-Websites liegen auf einem Shared Hosting. In diesem Fall wird PHP vom Host gepflegt, nicht von Ihnen: Er installiert den Patch auf seinen Servern.

o2switch zum Beispiel hat angekündigt, die Patches auf allen seinen Servern bereitzustellen und automatisch für jede PHP-Version anzuwenden, und seinen Kunden mitgeteilt, dass sie nichts tun müssen.

Drei Prüfungen für ein ruhiges Gewissen

1. Lesen Sie die Mitteilungen Ihres Hosts. Statusseite, Blog, soziale Netzwerke oder E-Mail an die Kunden: Die meisten haben sich dazu geäußert. Wenn die Mitteilung besagt, dass der Patch eingespielt ist, müssen Sie wegen dieser Sicherheitslücken nichts weiter tun.
2. Überprüfen Sie die PHP-Version Ihrer Website. Sie finden sie im Kundenbereich Ihres Hosts, oft unter „PHP-Version“ oder „PHP-Konfiguration“. WebAcappella Fusion erfordert mindestens PHP 8.1. Läuft Ihre Website noch mit 8.1 oder älter, nutzen Sie die Gelegenheit, auf PHP 8.3 oder 8.4 umzusteigen, zwei weiterhin gepflegte Versionen. PHP 8.2 wird nach dem 31. Dezember 2026 nicht mehr gepflegt: Planen Sie also lieber vor.
3. Fragen Sie im Zweifelsfall Ihren Host. Eine einfache Nachricht an den Support genügt, hier eine Vorlage zum Anpassen.

Wenn Sie die PHP-Version wechseln, machen Sie anschließend einen kurzen Test: Senden Sie sich über das Kontaktformular Ihrer Website eine Nachricht und gehen Sie, falls Sie einen Shop haben, diesen bis zur Zahlungsseite durch. Wurde Ihre Website lange nicht neu veröffentlicht, veröffentlichen Sie sie zuerst mit einer aktuellen Version von WebAcappella Fusion, die mit PHP 8.1 bis 8.5 kompatibel ist: So sind die Serverdateien Ihrer Website auf dem neuesten Stand. Und falls etwas nicht stimmt, kehren Sie zur vorherigen Version zurück, bis Sie uns kontaktiert haben.

Sie verwalten Ihren eigenen Server (VPS oder dediziert)?

Wenn Sie einen virtuellen (VPS) oder dedizierten Server mieten und selbst verwalten, liegt das Update bei Ihnen: Installieren Sie die korrigierte PHP-Version oder die aktualisierten Pakete Ihrer Distribution und starten Sie anschließend die PHP-Dienste neu (PHP-FPM oder Apache), damit sie wirksam wird. OVHcloud hat eine Schritt-für-Schritt-Anleitung (auf Englisch) veröffentlicht, die unabhängig von Ihrem Anbieter nützlich ist.

Was Sie sich sparen können

• An der PHP-Konfiguration Ihrer Website herumbasteln (zum Beispiel an der Datei .user.ini). PHP stellt klar, dass solche Einstellungen nicht vor diesen Sicherheitslücken schützen: Die Behebung erfolgt auf Serverebene.
• Ein im Internet gefundenes „Testskript“ oder einen „Patch“ herunterladen. Angriffscodes sind im Umlauf, und Sicherheitsforscher warnen, dass manche davon Schadsoftware enthalten könnten.
• Auf eine alarmierende E-Mail antworten. Stark beachtete Sicherheitsmeldungen ziehen stets betrügerische Nachrichten nach sich, etwa „Ihre Website ist gefährdet, klicken Sie hier“. Gehen Sie im Zweifelsfall über den Kundenbereich Ihres Hosts, niemals über einen erhaltenen Link.
• WebAcappella Fusion überstürzt aktualisieren. Die Sicherheitslücke liegt nicht in Fusion: Für ihre Behebung ist kein Software-Update nötig, und Ihr Projekt muss nicht geändert werden.

Ein Vorteil von WebAcappella-Websites: Das Original liegt bei Ihnen

Eine mit WebAcappella Fusion erstellte Website hat eine beruhigende Besonderheit: Ihr Original liegt nicht auf dem Server, sondern in Ihrem Projekt auf Ihrem Computer. Die Online-Website ist nur eine veröffentlichte Kopie davon. Sollten Sie eines Tages etwas Ungewöhnliches feststellen (eine veränderte Seite, eine unerwartete Weiterleitung), wenden Sie sich an Ihren Host, damit er den Server untersucht: Ihre Seiten veröffentlichen Sie einfach erneut aus Ihrem Projekt.

Einzige Ausnahme: Wenn Sie einen Shop haben, werden Bestellungen und Kundenkonten auf dem Server gespeichert. Für diese Daten springen die Backups Ihres Hosts ein, und es ist hilfreich, deren Häufigkeit zu kennen.

Zusammenfassung

• Am 21. Oktober 2026 wurden in PHP zwei schwerwiegende Sicherheitslücken behoben. Sie betreffen den Server, nicht WebAcappella Fusion oder Ihr Projekt.
• Bei Shared Hosting spielt Ihr Host den Patch ein: Prüfen Sie einfach seine Mitteilung.
• Nutzen Sie die Gelegenheit, Ihre PHP-Version zu kontrollieren: 8.3 oder 8.4 sind eine gute Wahl, 8.1 und ältere Versionen werden nicht mehr gepflegt.
• Auf einem VPS oder dedizierten Server aktualisieren Sie PHP und starten die PHP-Dienste neu.
• Weder Basteleien noch Skripte aus dem Internet: Das Server-Update ist die einzige echte Lösung.

Sicherheitslücken dieser Art gehören zum normalen Alltag im Web: Sie werden entdeckt, behoben und dann ausgerollt. Wichtig ist, dass der Patch schnell auf Ihrem Server ankommt – und diesmal haben die Hosts gleich nach der Veröffentlichung reagiert.

Quellen

• php.net: offizielle Ankündigung vom 21. Oktober 2026 und vorübergehende Einstellungen (auf Englisch)
• CVE-2026-109618 und CVE-2026-109619: ausführliche Sicherheitshinweise von PHP (auf Englisch)
• OVHcloud: Anleitung für VPS und dedizierte Server (auf Englisch)