PHP-Sicherheitslücke: Patchstand Ihrer Praxiswebsite prüfen

Dieser Artikel wurde mithilfe generativer KI automatisch aus Fremdquellen zusammengefasst, überarbeitet, ergänzt oder aktualisiert und noch nicht von einem Menschen redaktionell geprüft oder freigegeben. Er kann Fehler enthalten. Mehr zu unserem Umgang mit KI.

Wenn Ihre Praxiswebsite mit WordPress oder einer anderen PHP-Anwendung läuft, kann eine ungepatchte PHP-Installation Angreifern die Ausführung fremden Codes auf dem Webserver ermöglichen. Eine manipulierte oder ausgefallene Website würde auch Ihren öffentlichen Informations- und Kontaktweg beeinträchtigen. Damit dieser verlässlich nutzbar bleibt, sollten Sie den Patchstand jetzt mit Ihrem Hoster oder Website-Dienstleister klären.

Anlass ist ein neuer Warnstand: Das kanadische Cyber Centre berichtet in seinem Update vom 27. Oktober über aktive Ausnutzung der als „php2shell“ bekannten Lücken. Die Fehler und die ersten Korrekturen wurden bereits am 21. Oktober veröffentlicht. Ein erfolgreicher Angriff auf Ihre Praxis ist damit nicht belegt.

Weshalb ein WordPress-Update nicht reicht

PHP ist die serverseitige Software, mit der WordPress Seiten verarbeitet. Die beiden Lücken stecken in PHP selbst, nicht in einem bestimmten WordPress-Plugin. Das PHP-Projekt nennt unterschiedliche Webserver-Konfigurationen als gefährdet; bei Apache mit dem Modul mod_php beschreibt es einen Angriff vor der Ausführung des eigentlichen Anwendungscodes.

WordPress fordert deshalb ein PHP-Update beim Hoster. Ein WordPress-Core-Update behebt diese Fehler nicht. Umgekehrt bedeutet eine WordPress-Website nicht automatisch eine offene Lücke: Ihr Anbieter kann die PHP-Korrektur bereits eingespielt haben. Eine Website ohne PHP ist von diesen beiden PHP-Fehlern nicht betroffen.

Welche Bestätigung Sie benötigen

Beauftragen Sie die technisch zuständige Person mit einer Prüfung für Ihre konkrete Domain. Eine geeignete Anfrage lautet:

Bitte bestätigen Sie für unsere Website, ob die PHP-Lücken CVE-2026-109618 und CVE-2026-109619 behoben sind oder die Installation nicht betroffen ist. Nennen Sie das eingesetzte PHP-Paket, den Korrekturstand und den Zeitpunkt der Umsetzung. Prüfen Sie außerdem, ob der gesonderte Konfigurationsfall CVE-2026-115560 für unser Setup relevant ist.

Für die ersten beiden Lücken nennt das PHP-Projekt PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35 als korrigierte Versionen. Entscheidend ist die in Ihrem PHP-Zweig eingesetzte Version oder ein nachweislich korrigiertes Anbieterpaket.

Eine ältere angezeigte Versionsnummer ist allein kein Beweis für eine offene Lücke: Distributionen und Anbieter mit Langzeitunterstützung können Korrekturen zurückportieren. Lassen Sie sich den konkreten Paketstand bestätigen. PHP 8.1 und älter erhalten vom PHP-Projekt keine regulären Sicherheitsupdates mehr.

Der zusätzliche Hinweis vom 23. Oktober betrifft dagegen nur eine ungewöhnliche Kombination aus PHP-Konfiguration und Anwendungscode. Er bedeutet nicht, dass jede aktualisierte WordPress-Website weiterhin verwundbar ist. Die nötige Einordnung gehört zum Hoster, nicht zu einem Versuch mit kopierten Serverbefehlen im Praxisteam.

Wie es nach der Antwort weitergeht

Ist die Behebung für Ihre Website nachvollziehbar bestätigt, bewahren Sie die Rückmeldung auf; stellen Sie nicht zusätzlich auf eigene Faust die PHP-Version um. Fehlt der Fix, vereinbaren Sie unverzüglich dessen Umsetzung. Ist das nicht sofort möglich, muss der technische Betreiber eine geeignete Zwischenmaßnahme bis hin zur vorübergehenden Trennung des betroffenen Angebots vom öffentlichen Netz beurteilen. Eine pauschale Abschaltung jeder Praxiswebsite folgt daraus nicht.

Bei Auffälligkeiten wie veränderten Seiten oder unbekannten Benutzerkonten bitten Sie zusätzlich um eine Vorfalluntersuchung. Ein nachträgliches Update beweist nicht, dass vorher kein Zugriff stattgefunden hat. Lassen Sie nach technischen Änderungen auch Ihre öffentlichen Kontakt- und Terminwege auf Funktion prüfen; für den laufenden Betrieb hilft unsere Praxiswebsite-Checkliste.

Quellen und Stand

Geprüft am 28. Oktober 2026. Die Meldung betrifft PHP-basierte Webangebote, nicht pauschal Ihr PVS oder Ihre gesamte Praxis-IT.