21.10.2026

Kritische Schwachstelle in Internetseiten & Online-Anwendungen

Achtung: Für die weit verbreitete Programmiersprache PHP wurden mehrere kritische Sicherheitslücken bekannt. Diese können von Angreifern ausgenutzt werden, um automatisierte und großflächige Angriffe auf betroffene Systeme durchzuführen. Updates waren für den 21.10.26 um 16 Uhr angekündigt. Unternehmen sollten daher zeitnah prüfen, ob ihre Websites oder Anwendungen auf TYPO3, WordPress, Joomla oder anderen PHP-basierten Lösungen basieren und die verfügbaren Sicherheitsupdates einspielen.

Welche IT ist betroffen?

Cyber security warning concept. Businessman typing on laptop, showing alert symbol and data risk notification. Cybersecurity, system error, data protection, hacking prevention, IT security services.

Die Schwachstelle wurde in der Programmiersprache PHP entdeckt. Da PHP weltweit zu den am häufigsten eingesetzten Technologien für Webanwendungen gehört, können zahlreiche Websites und Online-Dienste betroffen sein..

Aktueller Stand auf der Seite des PHP-Sicherheitsteams.

Technische Sicherheitswarnung des Bundesamtes für Sicherheit in der Informationstechnik

PHP ist eine serverseitige Programmiersprache, die insbesondere für dynamische Websites und Webanwendungen eingesetzt wird. Auf dem Webserver verarbeitet sie beispielsweise Benutzereingaben, erstellt Webseiteninhalte und kommuniziert mit Datenbanken.

Betroffen sind nicht nur individuell entwickelte PHP-Anwendungen, sondern auch zahlreiche weit verbreitete Produkte und Open-Source-Lösungen, die auf PHP basieren oder PHP-Komponenten einsetzen. Dazu gehören unter anderem:

  • WordPress,
  • Drupal,
  • TYPO3,
  • Joomla,
  • Magento oder
  • Nextcloud.

Da PHP häufig durch Hosting- oder IT-Dienstleister bereitgestellt wird, ist die zugrunde liegende PHP-Version den Betreibern der Website nicht immer unmittelbar bekannt.

Wer muss handeln?

Betroffen sind grundsätzlich alle Unternehmen und Organisationen, die Websites oder Online-Anwendungen auf Basis von PHP betreiben.

In vielen Fällen wird PHP durch Hosting- oder IT-Dienstleister bereitgestellt und betrieben. Entsprechend können notwendige Sicherheitsupdates häufig nur durch diese eingespielt werden. Ein Update von Anwendungen wie TYPO3, WordPress oder Joomla allein ist daher nicht ausreichend.

Was ist zu tun?

Die Situation ist ernst: Bis die vom PHP-Sicherheitsteam angekündigten Sicherheitsupdates verfügbar und installiert sind, besteht für betroffene Systeme ein erhebliches Risiko. Aus diesem Grund haben einzelne IT- und Hosting-Dienstleister bereits damit begonnen, besonders gefährdete Webangebote vorsorglich einzuschränken oder vorübergehend vom Netz zu nehmen.

Das können Sie konkret tun:

  • Prüfen Sie, ob Ihre Websites oder Online-Anwendungen PHP nutzen.
  • Prüfen Sie gemeinsam mit Ihrem Hosting- oder IT-Dienstleister, welche PHP-Version eingesetzt wird und ob die aktuelle Sicherheitswarnung relevant ist.
  • Stimmen Sie die zeitnahe Installation der Sicherheitsupdates ab. Verfolgen Sie dazu die aktuellen Informationen des PHP-Sicherheitsteams.
  • Vergewissern Sie sich nach der Aktualisierung, dass die Systeme ordnungsgemäß aktualisiert wurden.
  • Falls kurzfristig keine Absicherung oder Aktualisierung möglich ist, sollte eine vorübergehende Einschränkung oder Abschaltung besonders gefährdeter Systeme geprüft werden.

Gibt es Lösungen für das Problem?

Nach Angaben des PHP-Sicherheitsteams werden ab dem 21. Oktober 2026, 16:00 Uhr, Sicherheitsupdates (sogenannte Patches) bereitgestellt, um die betroffenen Schwachstellen zu schließen.
Sobald die Updates verfügbar sind, sollten diese schnellstmöglich eingespielt werden. Nur durch die Installation der bereitgestellten Sicherheitsupdates lässt sich das Risiko einer Ausnutzung der Schwachstellen wirksam reduzieren.

FAQ: PHP-Sicherheitslücke

Nein. Betroffen sind ausschließlich Internetseiten und Online-Anwendungen, die die verwundbare PHP-Komponente bzw. eine anfällige PHP-Version einsetzen. Webseiten, die andere Technologien nutzen oder bereits aktualisiert wurden, sind in der Regel nicht betroffen.

PHP ist eine weit verbreitete Programmiersprache für dynamische Webseiten und Webanwendungen. Viele Content-Management-Systeme, Onlineshops und Kundenportale basieren auf PHP. Dazu gehören beispielsweise WordPress, TYPO3, Joomla oder Shop-Systeme.

Wenn Sie die Website nicht selbst entwickelt haben, fragen Sie Ihren Webdienstleister oder Hoster. Häufig finden sich Informationen auch im Hosting-Kundenkonto oder in der technischen Dokumentation der Website. In vielen Fällen lässt sich die eingesetzte PHP-Version dort direkt ablesen.

Die PHP-Version können Sie meist im Administrationsbereich Ihres Hosting-Anbieters oder in der Serververwaltung einsehen. Alternativ kann Ihr IT-Dienstleister die Version innerhalb weniger Minuten prüfen und bewerten.

Ja, sehr wahrscheinlich: WordPress oder TYPO3 sind PHP-Software. Zudem sind die PHP-Versionen bis zur neuesten Version 8 betroffen.

Angreifer können unter Umständen Schadcode ausführen, Daten auslesen oder die Website vollständig übernehmen. Je nach System können auch Kundendaten, interne Informationen oder angeschlossene Anwendungen betroffen sein.

  • Stimmen Sie sich mit Ihrem Hosting- oder IT-Dienstleister ab.
  • Spielen Sie verfügbare Sicherheitsupdates schnellstmöglich ein.
  • Prüfen Sie anschließend den erfolgreichen Abschluss der Aktualisierung.
  • Ist kurzfristig keine Absicherung möglich, abwägen ob gefährdete Systeme vorübergehend eingeschränkt oder abgeschaltet werden.

Nein. PHP ist die technische Basis, auf die ein PHP-CMS aufsetzt. Für einen wirksamen Schutz müssen sowohl das CMS als auch PHP und alle eingesetzten Erweiterungen aktuell gehalten werden.

Schwachstellen in grundlegenden Komponenten des Internets wie Webservern, PHP oder Content-Management-Systemen (CMS) treten leider immer wieder auf. Da diese Technologien weltweit eingesetzt werden, können solche Sicherheitslücken große Teile des Internets betreffen. In solchen Fällen muss häufig zunächst auf Sicherheitsupdates der Hersteller gewartet werden.

Was Sie trotzdem tun können:

Hinweis: Diese Seite wurde von der IHK München übernommen.