Sicherheitslücken in PHP geschlossen

Die Meldung über zwei schwerwiegende Sicherheitslücken in PHP hat viele Webseitenbetreiber verunsichert. Auch uns haben besorgte Kundenanfragen erreicht.

Ist meine Praxiswebseite betroffen? Muss ich etwas unternehmen? Und wie kann ich meine Webseite künftig schützen? Hier beantworten wir die wichtigsten Fragen.

Die wichtigste Information in Kürze

Unser Hosting-Partner Mittwald hat sehr schnell reagiert und die notwendigen Sicherheitsmaßnahmen umgesetzt. Alle von uns betreuten Kundenwebseiten wurden versorgt, auch ältere Webseiten, für die Mittwald eigene Lösungen bereitgestellt hat.

Sie müssen deshalb wegen dieser PHP-Sicherheitslücken aktuell nichts selbst unternehmen.

Was ist passiert?

In PHP wurden zwei kritische Sicherheitslücken bekannt, die unter dem Namen „PHP2Shell“ zusammengefasst werden. An ihrer Entdeckung und Untersuchung waren unter anderem die Sicherheitsunternehmen Calif und Wiz beteiligt.

Beide Lücken betreffen den Umgang mit dem Arbeitsspeicher des Servers: Bei der ersten kann das Erreichen der PHP-Speichergrenze einen Verarbeitungsschritt unterbrechen. Dabei bleiben unvollständig aufgebaute Datenstrukturen zurück, die PHP anschließend fälschlich als gültig behandelt. Bei der zweiten merkt sich PHP nach einem Fehler weiterhin die Speicheradresse alter Daten, obwohl der zugehörige Speicher bereits freigegeben wurde. Bei einer späteren Anfrage kann PHP erneut auf diese Adresse zugreifen, obwohl dort inzwischen andere Daten liegen können.

Beide Schwachstellen können in Kombination unter bestimmten Voraussetzungen unbefugte Zugriffe auf Server ermöglichen. Am 21. Oktober 2026 wurden Sicherheitsupdates veröffentlicht, um sie zu schließen.

Was ist PHP?

PHP ist eine Programmiersprache für die Entwicklung dynamischer Webseiten. Sie bildet die technische Grundlage für Systeme wie WordPress und TYPO3 und arbeitet im Hintergrund, um Inhalte zu verarbeiten und Webseiten zusammenzustellen. PHP stellt viele Funktionen bereit, die diese Systeme für ihren Betrieb benötigen. Wie bei jeder komplexen Software können dabei Fehler und Sicherheitslücken auftreten. Das PHP-Entwicklungsteam veröffentlicht deshalb regelmäßig Updates, um bekannte Schwachstellen zu schließen. Die Installation auf den Servern übernimmt unser Hosting-Partner Mittwald. Davon unabhängig sind die Updates von WordPress und seinen Plugins. Beide Ebenen müssen regelmäßig aktualisiert werden, da ein WordPress-Update kein PHP-Update ersetzt.

Ist meine Praxiswebseite betroffen?

Grundsätzlich konnten Webseiten betroffen sein, die PHP verwenden. Dazu gehören auch Praxiswebseiten mit WordPress oder TYPO3. Die Sicherheitslücken betreffen eine breite Spanne von PHP-Versionen: von PHP 5.4 bis zu den Versionen der Reihe 8.5 vor dem aktuellen Sicherheitsupdate. Damit waren sowohl ältere als auch moderne Webseiten potenziell betroffen.

Das bedeutet jedoch nicht automatisch, dass Ihre Webseite gehackt wurde oder ein Schaden entstanden ist. Zunächst bestand eine Sicherheitslücke, die unter bestimmten Voraussetzungen hätte ausgenutzt werden können.

Was wurde unternommen?

Mittwald hat sehr schnell reagiert und die Sicherheitsupdates auf den Servern installiert. Für ältere PHP-Versionen, die keine offiziellen Sicherheitsupdates mehr erhalten, waren zusätzliche Lösungen erforderlich.

Webseiten mit neueren PHP-Versionen konnten dadurch schneller abgesichert werden. Die älteren Kundenwebseiten wurden ebenfalls versorgt, benötigten aber mehr technischen Aufwand.

Zum Schutz der Webseiten wurde ihre Erreichbarkeit vorübergehend eingeschränkt, bis die Sicherheitsupdates installiert waren. 

Wer den Ablauf genauer nachvollziehen möchte, findet die einzelnen Schritte in der Statusmeldung von Mittwald zur PHP-Sicherheitslücke.

Muss ich selbst etwas tun?

Für die Behebung dieser PHP-Sicherheitslücken müssen unsere Website-Kunden aktuell nichts selbst unternehmen. Die Maßnahmen wurden zentral durch Mittwald umgesetzt.

Wird Ihre Praxiswebseite bei einem anderen Anbieter betrieben, fragen Sie dort bitte nach, ob die notwendigen Sicherheitsupdates bereits installiert wurden.

Wurde meine Webseite gehackt?

Eine Sicherheitslücke bedeutet nicht automatisch, dass eine Webseite gehackt wurde. Laut Mittwald haben die bisherigen internen Überprüfungen keine Hinweise darauf ergeben, dass die Schwachstellen auf der eigenen Infrastruktur ausgenutzt wurden.  Mittwald Satusmeldung

Muss ich meine Passwörter ändern?

Auf Grundlage der bisherigen Informationen sehen wir derzeit keinen konkreten Anlass für einen Passwortwechsel. Sollten neue Erkenntnisse zusätzliche Maßnahmen erforderlich machen, informieren wir Sie.

Warum wurde so viel darüber berichtet?

Dass Fehler und Sicherheitslücken in Software entdeckt werden, ist nichts Ungewöhnliches. Deshalb werden regelmäßig Updates veröffentlicht, die solche Schwachstellen schließen. 

Besonders war hier das Zusammentreffen schwerwiegender Angriffsmöglichkeiten mit einer sehr großen Zahl potenziell betroffener Systeme. Die beiden kritischen Lücken betreffen PHP-Versionen aus mehr als einem Jahrzehnt. Damit konnten sowohl ältere als auch moderne Webseiten betroffen sein. 

Weil PHP weltweit auf sehr vielen Webseiten eingesetzt wird, war schnelles Handeln in großem Umfang erforderlich. Auch europäische Sicherheitsbehörden warnten öffentlich und riefen zur sofortigen Installation der Sicherheitsupdates auf. Diese Reichweite und Dringlichkeit erklären die große Aufmerksamkeit für den Vorfall.

Wie kann man Webseiten in Zukunft besser schützen?

Warum sind Updates und ein rechtzeitiger Relaunch wichtig?

Sicherheitslücken können in jeder Software auftreten. Entscheidend ist, dass sie geschlossen werden und die eingesetzte Technik weiterhin Sicherheitsupdates erhält.

Für unsere Praxiswebseiten unterscheiden wir dabei zwei Aufgaben:

Updates: WordPress und Plugins aktuell halten

WordPress und seine Erweiterungen, die sogenannten Plugins, werden laufend weiterentwickelt. Dabei werden auch Fehler und Sicherheitslücken behoben. Regelmäßige Updates gehören deshalb zur notwendigen Pflege Ihrer Praxiswebseite.

Upgrade: Die Webseite auf ein neues Softwaresystem umstellen

Mit einem Upgrade meinen wir einen Relaunch, beispielsweise den Wechsel einer alten TYPO3-Webseite auf WordPress. Damit schaffen wir die technische Voraussetzung, aktuelle PHP-Versionen einzusetzen und künftig weiter zu aktualisieren.

Bei unseren älteren TYPO3-Kundenwebseiten laufen teilweise noch sehr alte PHP-Versionen, für die keine offiziellen Sicherheitspatches mehr bereitgestellt werden. Deshalb empfehlen wir, diese Webseiten auf ein aktuelles System umzustellen.

Wer diesen Wechsel bereits vorgenommen hat, profitiert jetzt davon: Für die neueren PHP-Versionen standen reguläre Sicherheitsupdates zur Verfügung, die schneller eingespielt werden konnten. Für die alten Versionen musste Mittwald zunächst eigene Lösungen bereitstellen.

Dass auch diese Webseiten versorgt wurden, ist eine gute Nachricht. Eine dauerhafte Alternative zur Modernisierung ist eine solche Sonderlösung jedoch nicht.

Kommen Sie gerne auf uns zu, wenn Sie weitere Fragen zum Thema "Wechsel von Typo3 zu Wordpress" haben.