Am 20. Oktober 2026 kündigte das PHP-Sicherheitsteam zwei kritische Lücken in PHP an, der Programmiersprache unter anderem hinter WordPress, Joomla, Drupal und Magento. Über die Lücken kann ein Angreifer möglicherweise ohne Anmeldung Code auf einem Server ausführen. In den Niederlanden gingen deshalb am 21. Oktober unter anderem DigiD, MijnOverheid und die Website des Parlaments vorsorglich offline. PHP veröffentlicht das Sicherheitsupdate am 21. Oktober um 14:00 Uhr UTC.
Was ist mit PHP los?
PHP2Shell ist der Name für zwei kritische Schwachstellen in PHP selbst: CVE-2026-109618 und CVE-2026-109619. Das PHP-Sicherheitsteam bewertet beide mit 9,2 auf der CVSS-Skala (Version 4.0), und laut CERT-EU deutet das auf Codeausführung aus der Ferne ohne Anmeldung hin. Ungewöhnlich ist die Reihenfolge. Details sickerten durch, bevor es eine Lösung gab, während eine solche Lücke normalerweise erst zusammen mit dem Update öffentlich wird. Am 20. Oktober kündigte PHP auf php.net daher eine außerplanmäßige Sicherheitsversion für Mittwoch, den 21. Oktober, um 14:00 Uhr UTC an, in Deutschland 16:00 Uhr. Welche PHP-Versionen genau betroffen sind, gibt PHP erst mit dieser Version bekannt. Meldungen, dass alle Versionen seit PHP 5 verwundbar seien, hat PHP zum Zeitpunkt des Schreibens nicht bestätigt. Sicher ist, dass nur die unterstützten Reihen PHP 8.2 bis 8.5 ein Update erhalten.
Welche Websites gingen in den Niederlanden offline?
Am 21. Oktober 2026 nahm eine Reihe niederländischer Organisationen ihre Websites vorsorglich offline, laut NOS unter anderem MijnOverheid, DigiD und die Zweite Kammer. Auch die Website und App von RTL Nieuws, Tweakers, das Nationale Cyber-Sicherheitszentrum (NCSC) und die Datenschutzbehörde gingen vom Netz. Notubiz, das Sitzungssystem von rund 100 Gemeinden, wurde ebenfalls abgeschaltet, ebenso Systeme an Hochschulen und bei der Nachrichtenagentur ANP. Das NCSC formuliert es so: Bis das Update installiert ist, ist jedes System mit PHP, das aus dem öffentlichen Internet erreichbar ist, vermutlich verwundbar. Wichtig zu wissen: Die meisten dieser Websites wurden nicht gehackt. Sie wurden bewusst offline genommen, weil Abschalten der einzige sichere Schutz ist, solange es kein Update gibt. Das ist eine vernünftige Entscheidung, für Organisationen, die von ihrer Website leben, aber eine teure.
Wird die PHP-Lücke schon ausgenutzt?
Die Meldungen zur Ausnutzung gehen auseinander, und am Mittag des 21. Oktober 2026 war eine großflächige Ausnutzung nicht bestätigt. Das NCSC hatte noch keinen aktiven Missbrauch gesehen, und das Sicherheitsunternehmen Huntress meldete dasselbe für die Umgebungen seiner Kunden. Laut The Hacker News standen die Lücken auch noch nicht im Katalog aktiv ausgenutzter Schwachstellen der US-Behörde CISA. Gleichzeitig sieht Cloudflare nach eigenen Angaben erste Angriffe, die seine Firewall abwehrt, und Patchstack meldet Hinweise auf Missbrauch von mehreren Hosting-Partnern. Das Sicherheitsunternehmen Sansec erwartet massenhafte Angriffe kurz nachdem die technischen Details vollständig öffentlich sind. Für Website-Betreiber heißt das: Gehen Sie von einem realen Risiko aus, auch wenn Ihre Website noch normal läuft. Eine Lücke mit der Bewertung 9,2, die schon teilweise durchgesickert ist, wird meist schnell ausgenutzt, sobald jemand funktionierenden Angriffscode teilt.
Ist Ihre Website von der PHP-Lücke betroffen?
Ihre Website ist möglicherweise betroffen, wenn sie auf PHP läuft, und das gilt für einen großen Teil des Webs: Laut BNR betreffen die Lücken etwa 70 % aller Websites. PHP steckt unter 1) WordPress und WooCommerce, 2) Joomla, Drupal und Magento und 3) viel Individualentwicklung mit Laravel oder Symfony. Auch eine einfache Website bei einem Webhoster läuft oft auf PHP, ohne dass der Betreiber es weiß. Sie prüfen es in drei Schritten. Erstens: Sehen Sie in der Verwaltung Ihres Hostingpakets nach, welche PHP-Version Ihre Website nutzt, oder fragen Sie Ihren Hoster. Zweitens: Prüfen Sie, ob Ihre Website ein CMS verwendet; öffnet "/wp-admin" hinter Ihrer Domain eine Anmeldeseite, ist es WordPress. Drittens: Läuft Ihre Website auf einer alten PHP-Version wie 7.4 oder 5.6, kommt kein Update, und Sie müssen aktualisieren oder migrieren. Eine Website mit Next.js, einem anderen JavaScript-Framework oder als statische Seite läuft nicht auf PHP.
Was sollten Sie jetzt tun, wenn Ihre Website auf PHP läuft?
Wenn Ihre Website auf PHP läuft, aktualisieren Sie PHP so schnell wie möglich nach der Veröffentlichung am 21. Oktober 2026 um 14:00 Uhr UTC und begrenzen bis dahin das Risiko. Schritt 1: Fragen Sie Ihren Hoster, ob er PHP selbst aktualisiert; bei verwaltetem Hosting geschieht das oft automatisch. Schritt 2: Betreiben Sie einen eigenen Server, installieren Sie die neue PHP-Version, sobald php.net sie veröffentlicht. Linux-Distributionen übernehmen den Fix manchmal ohne neue Versionsnummer, prüfen Sie also die Sicherheitsmeldung Ihrer Distribution. Schritt 3: Nutzen Sie eine nicht mehr unterstützte PHP-Version, planen Sie sofort ein Upgrade auf PHP 8.2 oder neuer. Schritt 4: Schalten Sie bis zum Update eine Web-Application-Firewall wie die von Cloudflare vor Ihre Website, oder setzen Sie die Website in den Wartungsmodus, wenn sie sensible Daten verarbeitet. Schritt 5: Prüfen Sie nach dem Update Protokolle und Dateien auf dem Server auf unbekannte Skripte.
Laufen Websites von VirtuoLab auf PHP?
Websites und Web-Apps, die VirtuoLab mit Next.js baut, laufen nicht auf PHP und sind von CVE-2026-109618 und CVE-2026-109619 nicht betroffen. Auch virtuolab.dev selbst läuft auf Next.js 16 mit Node.js und blieb am 21. Oktober online. Ehrlicherweise baut VirtuoLab auch WordPress- und WooCommerce-Plugins, und die laufen auf dem PHP-Server des Kunden. Haben Sie ein solches Plugin, ist nicht das Plugin das Problem, aber die PHP-Version Ihres Hostings muss aktualisiert werden, und VirtuoLab hilft gern dabei. Ebenso ehrlich: Keine Technik ist immun. Im Dezember 2025 hatte React, die Grundlage von Next.js, eine eigene kritische Lücke (CVE-2025-55182, Bewertung 10,0), die innerhalb weniger Tage gepatcht war. Der Unterschied liegt in zwei Dingen: 1) wie wenige Teile am Internet hängen und 2) wie schnell Sie aktualisieren. Eine individuelle Website ohne Plugins von Drittanbietern hat weniger offene Türen.
Sollten Sie jetzt von WordPress zu Next.js wechseln?
Nein, eine Lücke in PHP ist für sich kein Grund, in Panik zu wechseln; der erste Schritt ist immer das Update. WordPress betreibt einen großen Teil des Webs und erhält schnell Updates, und für ein Team, das täglich damit arbeitet, bleibt es eine gute Wahl. Ein Wechsel zu einer individuellen Website mit Next.js lohnt sich zu prüfen, wenn 1) Ihre Website viele Plugins hat, die Sie nicht selbst pflegen, 2) Ihre Website für den Umsatz wichtig ist und ein Tag offline viel kostet, oder 3) Ihr Hoster PHP langsam aktualisiert. Laut Patchstack steckten 2025 91 % der WordPress-Schwachstellen in Plugins, nicht in WordPress selbst. Eine individuelle Website hat weniger dieser einzelnen Teile. Bei VirtuoLab kostet eine Unternehmenswebsite mit Next.js ab 2.000 € und eine Web-App ab 5.000 €, zum Festpreis vorab. Wenn Sie unsicher sind, was am besten passt, hören Sie es ehrlich in einem kostenlosen Erstgespräch, auch wenn der Rat ist, bei WordPress zu bleiben.
Hilfe nötig?
Sie sind unsicher, ob Ihre Website auf PHP läuft, oder möchten wissen, was jetzt zu tun ist? Vereinbaren Sie ein kostenloses Erstgespräch mit VirtuoLab. Sie sprechen direkt mit dem Entwickler selbst, Mustafa Kose: Rufen Sie +31 6 43913632 an oder schreiben Sie an info@virtuolab.dev. Gemeinsam prüfen wir, welche Technik Ihre Website nutzt, ob etwas zu tun ist und wie Ihre Website danach weniger angreifbar wird.