Kritische PHP Sicherheitslücke - aktuelle Infos

Was ist PHP?

PHP (Hypertext Preprocessor) ist eine weit verbreitete, serverseitige Skriptsprache, die speziell für die Entwicklung dynamischer Webseiten und Webanwendungen entwickelt wurde. Sie bildet unter anderem das technische Fundament für große Content-Management-Systeme wie WordPress, Drupal und auch Joomla.

Was ist bei der PHP-Sicherheitslücke passiert?

Genau genommen geht es um zwei Lücken, die unter dem Namen „PHP2Shell“ zusammengefasst werden. Das PHP-Sicherheitsteam stuft beide als kritisch ein. Laut dem Cyber-Notfallteam der EU (CERT-EU) könnten Angreifer:innen damit ohne Anmeldung fremden Code auf einem Server ausführen.

Ungewöhnlich ist der Ablauf: Details zu den Lücken wurden öffentlich, bevor das Update fertig war. Deshalb geht jetzt alles schneller als bei einem normalen Sicherheitsupdate.

Ihre Website ist offline? Das ist der Grund:

Einige Websites wurden bereits vorsorglich offline genommen. Das ist eine Vorsichtsmaßnahme Ihres Hosting-Anbieters: Die Lücke wiegt schwer, und man muss damit rechnen, dass sie ausgenutzt wird, etwa um Daten abzugreifen. CERT-EU empfiehlt genau diesen Schritt für Websites, auf denen das Update nicht sofort eingespielt werden kann.

Eine offline genommene Website ist in diesem Fall kein Defekt, sondern Schutz

Der bisherige Ablauf

20. Oktober, ca. 17:20 Uhr
Details zu zwei kritischen PHP-Lücken tauchen vorzeitig in einem Online-Forum auf. Der Beitrag wird rasch gelöscht, Screenshots verbreiten sich trotzdem.

20. Oktober, abends
Die Sicherheitsfirma watchTowr bestätigt, dass die Lücken echt sind.

20. Oktober, 21:33 Uhr
Das PHP-Sicherheitsteam kündigt ein Notfall-Update für 21. Oktober, 16:00 Uhr an, einen Tag früher als ursprünglich geplant.

20. Oktober
CERT-EU veröffentlicht eine Warnung und rät, Websites notfalls vom Netz zu nehmen, bis das Update eingespielt ist.

21. Oktober, vormittags
Erste Websites und Online-Dienste gehen vorsorglich offline.

21. Oktober, 12:15 Uhr
Das Update ist noch nicht erschienen. Bestätigte Angriffe sind nicht bekannt.

21. Oktober, ca. 9:45 Uhr
Laut Sansec meldet Cloudflare erste Angriffe auf PHP-Websites.

21. Oktober, gegen 16:00 Uhr
Das PHP-Team veröffentlicht das Update: die korrigierten Versionen 8.5.12, 8.4.27, 8.3.36 und 8.2.35.

Wann gibt es ein Sicherheitsupdate?

Das PHP-Sicherheitsteam hat das Update für heute, 21. Oktober, um 16:00 Uhr angekündigt. Danach spielen die Hosting-Anbieter es auf ihren Servern ein. Wie schnell das geht, hängt vom jeweiligen Anbieter ab.

Gut zu wissen: Auch die Hersteller von Server-Software brauchen nach dem Release Zeit. Rechnen Sie also nicht damit, dass um 16:05 Uhr alle Websites wieder erreichbar sind.

Was Sie und wir tun können

Die PHP-Sicherheitslücke steckt nicht in Joomla und nicht in Ihrer Website, sondern in der Software auf dem Server. Das Update spielt deshalb Ihr Hosting-Anbieter ein. Auf Ihrer Website selbst können weder Sie noch wir etwas daran ändern. Ein Mitglied des PHP-Kernteams hat klargestellt: Wirksam hilft nur das Update.

Die Lücke liegt eine Ebene unter Joomla. Deshalb schließt sie nur das Update auf dem Server.

Selbstverständlich behalten wir den Verlauf der Ereignisse im Blick und stehen im Austausch mit allen relevanten Partner:innen. In diesem Beitrag ergänzen wir laufend, was sich ändert.

Für Sie bedeutet das

Ihre Joomla-Website selbst braucht keine Änderung. Entscheidend ist, wann Ihr Hosting-Anbieter das Update einspielt.

• Ist Ihre Website offline, wartet sie auf das Update auf dem Server.
• Ist sie online, lohnt eine kurze Nachfrage bei Ihrem Hosting-Anbieter, wann er das Update einspielt.
• Was Sie über diesen Fall hinaus für die Sicherheit tun können, lesen Sie in unserem Beitrag Wie kann man eine Joomla Website absichern?

Quellen:

PHP Security Team, Upcoming Critical PHP Security Release, 20.10.2026. 
CERT-EU, Security Advisory 2026-018, 20.10.2026.
CMS ADMINS, php2shell: Kritische PHP-Lücken CVE-2026-109618/109619 (laufend aktualisiert), 21.10.2026.
netzwelt, Kritische PHP-Lücke: EU-Behörde warnt, erste Websites gehen offline, 21.10.2026.