Management Summary
Am 21. Oktober 2026 wurden zwei kritische Sicherheitslücken in PHP veröffentlicht. PHP bildet die technische Grundlage zahlreicher Websites und Webanwendungen.
Betroffen sein können grundsätzlich alle Webanwendungen mit einer verwundbaren PHP-Laufzeitumgebung. Dazu gehören unter anderem WordPress, Joomla, Nextcloud, Onlineshops, Kundenportale und individuelle Geschäftsanwendungen.
Die Schwachstellen CVE-2026-109618 und CVE-2026-109619 werden mit einem kritischen CVSS-Wert von jeweils 9,2 bewertet. Unter bestimmten Bedingungen können Angreifer ohne Anmeldung Schadcode auf betroffenen Servern ausführen.
Zusätzlich wichtig: Nicht nur PHP selbst, sondern auch PHP-basierte Themes, Templates, Plugins, Module und Erweiterungen können eigenständige Sicherheitslücken enthalten. Aktuelles Beispiel ist YOOtheme Pro 5 für Joomla und WordPress. Für diese zusätzliche Schwachstelle wurde am 21. Oktober 2026 ein separates Sicherheitsupdate veröffentlicht.
Unsere Empfehlung: Prüfen Sie zeitnah gemeinsam mit Ihrem Hosting-Anbieter beziehungsweise IT-/Homepage-Dienstleister sowohl die PHP-Laufzeitumgebung als auch Ihre Webanwendungen einschließlich aller installierten Erweiterungen.
Kritische PHP-Sicherheitslücken: Was Website-Betreiber jetzt wissen und tun sollten
Die Sicherheitslücken befinden sich nicht in einem einzelnen WordPress-Plugin oder Joomla-Modul, sondern in der zugrunde liegenden PHP-Laufzeitumgebung. Deshalb können sehr unterschiedliche Webanwendungen betroffen sein, auch wenn deren eigentliche Software bereits auf dem aktuellen Stand ist.
Das PHP-Entwicklerteam hat am 21. Oktober entsprechende Sicherheitsupdates veröffentlicht. Auch das Bundesamt für Sicherheit in der Informationstechnik (BSI) und europäische Sicherheitsstellen weisen auf die kritische Bedrohung hin.




























