Ist unsere Webseite von der PHP-Sicherheitslücke betroffen?
PHP hat am 21. Oktober 2026 Notfallupdates für zwei kritische Sicherheitslücken veröffentlicht, die Angreifern ohne Anmeldung die Ausführung von Programmcode erlauben. Das Update spielt Ihr Hoster oder Ihre Agentur ein, nicht Sie selbst. Ihr Teil ist, dort heute drei Fragen zu stellen und die Antworten mit Datum aufzuschreiben.
PHP hat am 21. Oktober 2026 außerplanmäßig Sicherheitsupdates herausgegeben: PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35. Die Ankündigung spricht von kritischen Schwachstellen, über die Angreifer aus der Ferne Programmcode ausführen können. Die Einzelheiten stehen im Bericht des Search Engine Journal vom 22. Oktober: Es sind zwei Lücken, ein Angriff braucht keine Anmeldung, und nach Angabe des PHP-Teams ersetzt keine Einstellung und keine Firewall das Update vollständig.
Was heißt das für eine normale Firmenseite?
PHP ist die Sprache, auf der viele Webseiten laufen, auch WordPress-Seiten. Das Update gehört auf den Server, nicht in die Seite. Wer WordPress oder seine Erweiterungen aktualisiert, hat PHP damit nicht aktualisiert. Auf einem gemieteten Server spielt das meist der Hoster ein, oft erst auf Nachfrage.
Laut Search Engine Journal haben in den Niederlanden das Parlament und die Cyberbehörde ihre Seiten vorsorglich vom Netz genommen, ebenso finnische Behörden und Universitäten. CERT-EU und die britische Cyberbehörde hatten geraten, eine zeitweise Abschaltung zu erwägen, wo ein sofortiger Schutz nicht möglich war. Wie viele Seiten tatsächlich angegriffen wurden, sagt keine der Quellen.
Was ist, wenn die Seite offline muss?
Dann zählt, was Suchmaschinen sehen. Google Search Central hat am 21. Oktober daran erinnert: Eine vorübergehend nicht erreichbare Seite soll den Statuscode 503 ausliefern. Dann bleiben bereits aufgenommene Adressen in der Suche erhalten. Eine Fehlerseite mit 404 schadet, ebenso eine mit dem Code „in Ordnung". Die 503 soll nicht länger als ein bis zwei Tage laufen, und die Datei robots.txt muss weiter normal antworten. Weil PHP selbst gerade ausfällt, muss die 503 vom Webserver oder einem vorgeschalteten Dienst kommen. Ob Ihr Hoster das kann, gehört in die Mail unten.
Ihr Handgriff: eine Mail, zwanzig Minuten
Schreiben Sie heute der Stelle, die Ihre Seite betreibt, und stellen Sie drei Fragen: Welche PHP-Version läuft für unsere Seite? Ist darin der Fix vom 21. Oktober enthalten? Und wenn nicht, bis wann? Bei WordPress sehen Sie die Version selbst unter Werkzeuge, Website-Zustand, Info, Server. Schreiben Sie Antwort und Datum auf.
Unangenehm wird es bei zwei Antworten: „Das weiß ich nicht" und „PHP 8.1" oder älter. Diese Versionen bekommen laut Search Engine Journal keine regulären Updates mehr, es gibt nur begrenzte Notkorrekturen. Dann muss jemand einen Versionswechsel planen. Ob eine Seite schon missbraucht wurde, lässt sich nur technisch prüfen, etwa an unbekannten Administratorkonten und geänderten Dateien. Fragen Sie auch danach.
Dass niemand sagen kann, wer so etwas pflegt, kennt man aus Welche Programme greifen eigentlich auf unsere Postfächer zu?. Und was eine Seite leisten soll, für die man bezahlt hat, steht in Wofür habe ich damals eigentlich bezahlt?
Wo OctoPages hilft
Eine OctoPages-Seite besteht laut octopages.com aus fertigen Dateien. Sie hat kein Verwaltungssystem mit Erweiterungen, die gepflegt werden müssen, und braucht darum keine Updates der Seite selbst. Das nimmt Ihnen die Last der Erweiterungen. Es beantwortet nicht, auf welchem Server die Dateien liegen: Auch das fragen Sie bei jedem Anbieter, uns eingeschlossen.
Häufige Fragen
Was ist am 21. Oktober 2026 bei PHP passiert?
Das PHP-Team hat außerplanmäßig die Versionen 8.5.12, 8.4.27, 8.3.36 und 8.2.35 herausgegeben. Sie schließen laut Ankündigung kritische Schwachstellen, über die Angreifer aus der Ferne Programmcode ausführen können.
Reicht es, WordPress und die Erweiterungen zu aktualisieren?
Nein. PHP läuft auf dem Server und wird getrennt aktualisiert. Ein Update von WordPress oder seinen Erweiterungen ändert die PHP-Version nicht. Die Version zeigt WordPress unter Werkzeuge, Website-Zustand, Info, Server an.
Wer spielt das PHP-Update bei einer Firmenseite ein?
Bei einem gemieteten Server oder Hostingpaket in der Regel der Hoster, bei einer betreuten Seite oft die Agentur. Fragen Sie schriftlich nach der laufenden PHP-Version und dem Zeitpunkt, an dem der Fix vom 21. Oktober 2026 eingespielt wird oder wurde.
Was soll meine Seite ausliefern, wenn sie für das Update offline geht?
Den Statuscode 503 (Service Unavailable). Google Search Central hat am 21. Oktober 2026 darauf hingewiesen, dass bereits aufgenommene Adressen dann in der Suche bleiben. Die 503 soll höchstens ein bis zwei Tage laufen, und die Datei robots.txt muss normal antworten.
Was ist mit PHP 8.1 und älteren Versionen?
Laut Search Engine Journal bekommen sie keine regulären Updates mehr. Für PHP 7.4, 8.0 und 8.1 gibt es begrenzte Notkorrekturen für alle, die PHP selbst bauen, und Hoster können eigene Fixes liefern. Auf Dauer braucht die Seite eine unterstützte Version.
