PHP schließt am 21. Oktober um 16 Uhr zwei kritische Lücken

Zwei kritische Lücken in PHP schließt das PHP-Sicherheitsteam am Mittwoch, 21. Oktober, um 16 Uhr deutscher Zeit. Beide stuft das Team auf der Bewertungsskala CVSS mit 9,2 von 10 Punkten ein. Offiziell gepflegt werden nur noch PHP 8.2 bis 8.5, auf älteren Versionen laufen laut WordPress.org gut 36 % aller WordPress-Websites.

drweb.de als bevorzugte Quelle auf Google hinzufügenQualitätsgeprüfte Inhalte direkt in Google News & DiscoverJetzt hinzufügen

Mit einer Vorwarnung auf php.net wandte sich das PHP-Sicherheitsteam am 20. Oktober an alle Nutzer: Jeder Betreiber soll sich jetzt vorbereiten, um das Update sofort einspielen zu können. Einzelheiten zu den Lücken sowie betroffene und abgesicherte Versionen veröffentlicht das Team erst mit dem Update.^[1]

Das Wichtigste in Kürze

• Tauchen vorher Angriffe auf oder werden Details öffentlich, erscheint das Update früher.
• Die Korrektur steckt in neuen PHP-Versionen, Plugin-Updates in WordPress oder Shopware ändern daran nichts.
• PHP 8.1 und ältere Versionen bekommen keine offizielle Korrektur mehr.

Warum hilft kein Plugin-Update?

Die beiden Lücken stecken in PHP selbst, also im Interpreter, der jedes PHP-Skript ausführt. Geschlossen werden sie mit neuen PHP-Versionen, die auf dem Server installiert werden müssen.^[1] Ein Update von WordPress, Shopware oder Magento ändert an der PHP-Installation nichts. Anders als bei der Lücke im WordPress-Kern, über die Angreifer im September fremde PHP-Dateien einbinden konnten, hilft diesmal auch kein WordPress-Update.

Entscheidend ist, wer den Server verwaltet. Bei Shared und Managed Hosting spielt der Hoster das Update ein, auf einem eigenen dedizierten Server bleibt die Aufgabe beim Betreiber. Stammt PHP aus den Paketquellen der Linux-Distribution, kommt die Korrektur über deren Paketupdates.

Nach W3Techs laufen 69,3 % aller Websites mit bekannter serverseitiger Programmiersprache auf PHP.^[6] Groß sind auch die Altlasten: Sicherheitskorrekturen bekommen nur die Versionen 8.2 bis 8.5, für PHP 8.2 endet die Pflege am 31. Dezember 2026.^[2] Laut WordPress.org laufen 36,4 % der WordPress-Websites auf PHP 8.1 oder älter.^[5]

Wie schnell folgen die Angriffe?

PHP ist quelloffen, mit dem Update wird die Korrektur im Quelltext sichtbar. Wie schnell Angreifer eine veröffentlichte PHP-Lücke ausnutzen, zeigte CVE-2024-4577 im Juni 2024: Das Sicherheitsteam von Akamai registrierte schon einen Tag nach der Veröffentlichung zahlreiche Angriffsversuche, darunter Kampagnen mit dem Fernzugriffstrojaner Gh0st RAT und Kryptominern.^[3]

Für den aktuellen Fall nennt das PHP-Team selbst die Bedingungen: Tauchen Angriffe auf oder werden Einzelheiten vorab öffentlich, erscheint das Update früher als geplant.^[1] Zwischen der Veröffentlichung und dem eingespielten Update bleibt jeder Server mit betroffener PHP-Version angreifbar.

Kritische PHP-Lücken: Nur gepflegte Versionen bekommen ein Update

Sicherheitsupdates laut PHP Group, Anteile an den WordPress-Websites laut WordPress.org, Stand 21. Oktober 2026.

9,2

von 10 Punkten (CVSS 4.0) für jede der beiden Lücken

16 Uhr

deutscher Zeit am 21. Oktober erscheint das Update, bei Angriffen früher

69,3 %

aller Websites mit bekannter serverseitiger Programmiersprache nutzen PHP (W3Techs)

36,4 %

der WordPress-Websites laufen auf PHP 8.1 oder älter

PHP-Versionen auf WordPress-Websites

VersionSicherheitsupdates bisAnteil

8.531. Dezember 20293,9 %

8.431. Dezember 20289,3 %

8.331. Dezember 202726,6 %

8.231. Dezember 202623,8 %

8.1beendet10,7 %

8.0beendet3,8 %

7.4 und älterbeendet21,8 %

Quellen: PHP Group, Supported Versions; WordPress.org, PHP-Statistik; W3Techs (jeweils 21. Oktober 2026). © 2026 Dr. Web | Das Fachportal für Entscheider | Infografik von Dr. Web

Was sollten Betreiber jetzt tun?

Für Shops und Kundenportale kommen Meldepflichten hinzu: Übernimmt ein Angreifer einen Server mit Kundendaten, muss der Verantwortliche die Datenpanne nach Artikel 33 DSGVO in der Regel binnen 72 Stunden der Aufsichtsbehörde melden.^[4]

• Fragen Sie Ihren Hoster gerne noch vor 16 Uhr, wann er das Update einspielt und welche PHP-Version Ihre Websites nutzen.
• Spielen Sie auf eigenen Servern die aktualisierten Pakete ein, sobald PHP oder Ihre Linux-Distribution sie veröffentlicht.
• Stellen Sie Websites mit PHP 8.1 oder älter auf PHP 8.3 oder neuer um, vorher mit allen Plugins und Themes in einer Testumgebung.
• Nehmen Sie nicht mehr gepflegte Systeme vom Netz oder schirmen Sie sie per VPN ab, bis die Umstellung steht.

Quellen

Mehr Newshunger?

• Duplicator mit über 1 Million Installationen: Ein Kommentar genügt für den Angriff beim Umzug
• UpdraftPlus: Erst Version 1.26.13 sperrt die gestohlenen Schlüssel
• BeyondTrust: Spionagegruppe nutzte die Fernwartungslücke seit Ende August
• Palo-Alto-Firewalls: Angreifer nutzen eine Root-Lücke im Verwaltungszugang aus
• Cisco Secure Email Gateway: Die Anhangprüfung gibt Angreifern Root-Rechte
• WPCode mit über 3 Millionen Installationen: Fremde konnten Code-Snippets umgehen