Kurz gesagt: Seit heute, 21. Oktober 2026, 16 Uhr Schweizer Zeit, gibt es Notfall-Updates für zwei kritische Sicherheitslücken in PHP. Über die Lücken können Angreifer ohne Anmeldung eigenen Code auf einem Webserver ausführen. Wenn Ihre Website, Ihr Onlineshop oder eine Ihrer Webanwendungen auf PHP läuft, muss sie heute noch aktualisiert werden.
Was ist passiert?
PHP ist die Programmiersprache hinter einem grossen Teil der Websites weltweit, zum Beispiel hinter WordPress, vielen Onlineshops und Content-Management-Systemen. Das PHP-Entwicklerteam hat heute ausserplanmässig Sicherheitsupdates veröffentlicht. Sie schliessen zwei Lücken mit den Kennungen CVE-2026-109618 und CVE-2026-109619. Beide sind mit 9.2 von 10 Punkten als kritisch eingestuft. In Fachkreisen heissen sie «PHP2Shell».
Brisant: Details zu den Lücken sind bereits gestern an die Öffentlichkeit gelangt, also bevor die Updates bereitstanden. Laut Cloudflare gibt es bereits erste Versuche, die Lücken auszunutzen. Die Zeit zwischen Bekanntwerden und Angriff ist bei solchen Lücken erfahrungsgemäss kurz.
Welche Versionen sind sicher?
Die Lücken sind in diesen PHP-Versionen geschlossen:
- PHP 8.5.12
- PHP 8.4.27
- PHP 8.3.36
- PHP 8.2.35
Achtung bei alten Versionen: PHP 8.1 und älter erhalten keine offiziellen Updates mehr. Das PHP-Team stellt wegen der Schwere der Lücken zwar minimale Korrekturen für PHP 7.4, 8.0 und 8.1 bereit, diese sind aber kein vollwertiger Ersatz. Läuft Ihre Website noch auf einer solchen Version, ist jetzt der Moment für ein Upgrade.
Was Sie heute noch tun sollten
- Klären, was auf PHP läuft. Website, Onlineshop, Kundenportal, Buchungstool, Intranet: Fragen Sie Ihre Webagentur oder Ihren Hoster, welche Systeme betroffen sind.
- Update bestätigen lassen. Lassen Sie sich schriftlich bestätigen, dass PHP auf eine der oben genannten Versionen aktualisiert wurde – oder dass der Anbieter ein entsprechendes Sicherheitspaket eingespielt hat.
- Zuständigkeit klären. Bei einem gemieteten Webhosting ist meist der Hoster für PHP zuständig. Bei einem eigenen oder gemieteten Server sind es Sie oder Ihr IT-Dienstleister. Gehen Sie nicht davon aus, dass «jemand» das schon erledigt.
- Alte Systeme priorisieren. Systeme mit PHP 8.1 oder älter zuerst angehen. Ist ein Upgrade heute nicht möglich, die Anwendung vorübergehend vom Internet nehmen.
Wie Sie die Lage einordnen
Kein Grund zur Panik, aber ein Grund zum Handeln – heute, nicht nächste Woche. Eine übernommene Website kann Daten preisgeben, Schadsoftware an Ihre Kunden verteilen oder Ihren guten Ruf beschädigen. Ein Update dauert in den meisten Fällen nur wenige Minuten.
Der Fall zeigt auch ein Grundproblem: Viele KMU wissen nicht genau, welche Systeme sie im Internet betreiben und wer für deren Aktualisierung zuständig ist. Genau das sollte man nicht erst im Notfall herausfinden.
Sie sind unsicher, ob Ihre Systeme betroffen sind? Rufen Sie uns an: IT-Notfall +41 71 511 23 88, oder schreiben Sie an info@padcom.ch.
Quellen
Help Net Security, 21.10.2026 · BleepingComputer, 20.10.2026 · CyberScoop, 21.10.2026 · Cybersecurity News, 21.10.2026 · The Hacker News, 21.10.2026
Stand: 21. Oktober 2026, 17 Uhr. Die Lage entwickelt sich; wir aktualisieren diesen Beitrag bei Bedarf. Bild: panumas nikhomkhai / Pexels.
Wie steht Ihre IT heute da?
Der IT-Sicherheitscheck gibt Ihnen in wenigen Minuten eine Einschätzung mit Punktzahl und einen Bericht dazu. Kostenlos, ohne Verkaufsgespräch. Wir führen ihn gemeinsam mit Landtwing Informatik durch.
Nächster Schritt
Fragen zu diesem Thema? Sprechen wir darüber.
Besprechen Sie Ihre Situation direkt mit uns – im kostenlosen und unverbindlichen Erstgespräch. Online-Termin wählen, und wir melden uns pünktlich bei Ihnen.