Was ist passiert?

Am 21. Oktober 2026 hat das PHP-Projekt zwei kritische Sicherheitslücken veröffentlicht. Betroffen sind PHP-Versionen, die auf zahlreichen Websites und Webservern eingesetzt werden – darunter auch viele Websites von Bildungsvereinen, Fördervereinen und gemeinnützigen Organisationen.

Die Schwachstellen werden unter den Kennungen CVE-2026-109618 und CVE-2026-109619 geführt. Sie ermöglichen unter bestimmten Bedingungen die Ausführung von Schadcode auf einem betroffenen Server, ohne dass sich ein Angreifer vorher anmelden muss.

Das kann schwerwiegende Folgen haben: Angreifer könnten möglicherweise auf Daten zugreifen, Inhalte verändern oder die Website für weitere Angriffe missbrauchen. Ob und welche Folgen im Einzelfall möglich sind, hängt von der jeweiligen Serverkonfiguration ab.

Besonders wichtig: Die Schwachstellen betreffen nicht nur WordPress. Auch andere Websites und Anwendungen, die PHP einsetzen, können gefährdet sein.

Welche Websites sind betroffen?

Grundsätzlich können alle öffentlich erreichbaren Server betroffen sein, auf denen eine verwundbare PHP-Version Webanfragen verarbeitet.

Für Bildungsvereine ist deshalb eine Überprüfung besonders wichtig, wenn die Website beispielsweise:

• mit WordPress erstellt wurde,

• bei IONOS, STRATO oder einem anderen Hostinganbieter betrieben wird,

• länger nicht technisch aktualisiert wurde,

• von ehrenamtlichen Vorständen oder externen Dienstleistern betreut wird.

Entscheidend ist nicht allein, ob die Website mit WordPress läuft. Maßgeblich ist die PHP-Version, die der Server tatsächlich verwendet, sowie der Stand der Sicherheitskorrekturen.

Welche PHP-Versionen sind sicherheitsrelevant?

Für die beiden aktuell gemeldeten Sicherheitslücken hat das PHP-Projekt korrigierte Versionen veröffentlicht.

Auch neuere Patch-Versionen sind geeignet, sofern sie die Korrekturen enthalten.

Achtung: PHP 8.1 und ältere Versionen erhalten vom PHP-Projekt keine regulären Sicherheitsupdates mehr. Hier muss der Hostinganbieter klären, ob gegebenenfalls eigene Sicherheitskorrekturen bereitgestellt werden oder ein Wechsel auf einen unterstützten PHP-Zweig erforderlich ist.

Die Tabelle bezieht sich auf genau diese beiden Sicherheitslücken. Sie ist keine allgemeine Garantie, dass eine Version frei von sämtlichen Sicherheitsproblemen ist.

So überprüft ihr eure Website

Möglichkeit A:
Direkt in WordPress

1. Meldet euch im Administrationsbereich eurer Website an.
2. Öffnet im Menü Werkzeuge → Website-Zustand.
3. Wechselt zum Reiter Bericht beziehungsweise zur Detailansicht.
4. Öffnet den Abschnitt Server.
5. Sucht nach dem Eintrag PHP-Version.
6. Notiert die angezeigte Versionsnummer.

Je nach WordPress-Version kann die Bezeichnung oder Anordnung geringfügig abweichen.

Möglichkeit B:
Im Kundenkonto des Hostinganbieters

Die PHP-Version lässt sich häufig auch im Hostingkonto überprüfen.

• IONOS: Öffnet das Hosting- beziehungsweise Webhosting-Menü und sucht nach den PHP-Einstellungen der betreffenden Website.

• STRATO: Öffnet das Hostingpaket und sucht nach den PHP-Einstellungen beziehungsweise der PHP-Konfiguration.

• Andere Anbieter: Sucht nach „PHP-Version“, „PHP-Einstellungen“ oder „PHP-Konfiguration“.

Wichtig: Prüft die Version für die richtige Domain und das richtige Hostingpaket. Bei mehreren Websites oder Unterverzeichnissen können unterschiedliche Einstellungen gelten.

Wenn ihr unsicher seid, fragt euren Hostinganbieter ausdrücklich nach der PHP-Version, die für eure öffentlich erreichbare Website tatsächlich aktiv ist, und nach dem Stand der Sicherheitskorrekturen.

Was tun, wenn die PHP-Version veraltet ist?

Wenn eure Website eine der betroffenen, nicht korrigierten Versionen verwendet, solltet ihr unverzüglich handeln.

• Hostinganbieter kontaktieren: Klärt, ob ein Sicherheitsupdate bereits eingespielt wurde.
• Update veranlassen: Lasst die PHP-Version auf einen unterstützten, korrigierten Stand aktualisieren. Bei älteren Websites sollte die Kompatibilität vorher geprüft werden.
• Website testen: Kontrolliert anschließend die Startseite, Formulare, Spendenfunktionen, Mitgliederbereiche und weitere wichtige Funktionen.
• WordPress aktuell halten: Aktualisiert zusätzlich WordPress, Plugins und Themes. Das ersetzt das PHP-Sicherheitsupdate allerdings nicht.
• Bei Verdacht auf einen Angriff: Sichert Protokolle und Belege, informiert den Hostinganbieter und lasst die Website fachkundig untersuchen. Ein Versionsupdate allein beweist nicht, dass ein möglicher Angriff beseitigt wurde.

Wenn eine betroffene Website nicht zeitnah abgesichert werden kann, sollte der Hostinganbieter mit euch geeignete Sofortmaßnahmen abstimmen. Dazu kann bei erheblichem Risiko auch eine vorübergehende Abschaltung des öffentlichen Zugriffs gehören.

Checkliste für Vorstände und Website-Verantwortliche

Diese Liste kann jeder Bildungsverein für seine eigene Website verwenden.

Website und Zuständigkeit

• Alle Domains und Unterdomains des Vereins sind erfasst.

• Die zuständige Person für die Website ist bekannt.

• Der Hostinganbieter und das gebuchte Hostingpaket sind bekannt.

Technische Überprüfung

• Die tatsächlich aktive PHP-Version wurde ermittelt.

• Der Hostinganbieter hat den Sicherheitsstand der PHP-Installation bestätigt.

• Die Korrektur für CVE-2026-109618 und CVE-2026-109619 ist eingespielt.

• Bei PHP 8.1 oder älter wurde eine sichere Übergangslösung beziehungsweise Migration geklärt.

 Weitere Sicherheitsmaßnahmen

• WordPress, Plugins und Themes sind aktuell.

• Ein aktuelles Backup liegt vor und seine Wiederherstellbarkeit ist geklärt.

• Die Website wurde nach Änderungen auf wichtige Funktionen geprüft.

• Bei Auffälligkeiten wurde der Hostinganbieter informiert.

Abschluss

• Datum der Überprüfung dokumentiert.

• Ergebnis und gegebenenfalls erforderliche Maßnahmen festgehalten.

Dokumentation

• Website/Domain: ______________________________
• Hostinganbieter: _____________________________
• PHP-Version: _________________________________
• Sicherheitsstand bestätigt durch: ______________
• Datum der Prüfung: ___________________________
• Erforderliche Maßnahmen / Frist: _______________
• Verantwortliche Person: ________________________