PHP-Sicherheitslücken 2026: Jetzt handeln

Mehrere Sicherheitsupdates innerhalb weniger Monate, zuletzt zwei kritische Schwachstellen: PHP steht 2026 verstärkt im Fokus der IT-Sicherheit. Für Unternehmen, die Magento, Drupal oder andere PHP-basierte Systeme einsetzen, stellt sich eine einfache Frage: Ist die eigene Infrastruktur ausreichend geschützt?

Eine Website kann einwandfrei funktionieren und trotzdem bekannte Sicherheitslücken enthalten. Denn ob ein Onlineshop erreichbar ist, Bestellungen verarbeitet oder Daten mit einem ERP-System austauscht, sagt wenig über den Sicherheitszustand der zugrunde liegenden Software aus.

Genau darauf machen die PHP-Sicherheitsupdates der vergangenen Monate aufmerksam. Sie zeigen, warum regelmässige Wartung keine technische Nebensache ist, sondern zum zuverlässigen Betrieb geschäftskritischer Systeme gehört.

PHP-Sicherheitslücken 2026: Was ist passiert?

PHP ist eine der verbreiteten Programmiersprachen für Websites, Onlineshops und digitale Geschäftsanwendungen. Auch etablierte Plattformen wie Magento beziehungsweise Adobe Commerce und Drupal basieren darauf.

Zwischen Juli und Oktober 2026 veröffentlichte das PHP-Projekt mehrere Sicherheitsupdates. Dabei wurden unterschiedliche Schwachstellen behoben, die unter bestimmten Voraussetzungen beispielsweise Serverabstürze oder die unerlaubte Ausführung fremden Programmcodes ermöglichen konnten. Besonders relevant sind zwei Veröffentlichungen.

2026 / September - 24: Sicherheitslücke in der SOAP-Erweiterung

Unter der Kennung CVE-2026-91765 wurde eine Schwachstelle veröffentlicht, die das gezielte Abstürzen eines PHP-Prozesses ermöglichen kann.

Die Ursache liegt in der Verarbeitung stark verschachtelter Daten durch die PHP-SOAP-Erweiterung. Angreifer können einen verwundbaren, erreichbaren SOAP-Server unter bestimmten Bedingungen mit einer speziell aufgebauten Anfrage zum Absturz bringen. Wiederholte Anfragen können die Verfügbarkeit eines Dienstes beeinträchtigen.

Das PHP-Projekt bewertet die Lücke mit 7,5 von 10 Punkten nach CVSS 3.1. Sie gilt damit als hoch, nicht als kritisch.

Wichtig ist die Unterscheidung: Nicht jede PHP-Anwendung ist automatisch angreifbar. Die konkrete Schwachstelle betrifft Anwendungen, die einen entsprechenden verwundbaren SOAP-Server-Endpunkt bereitstellen.

2026 / Oktober - 21: Zwei kritische Sicherheitslücken

Mit CVE-2026-109618 und CVE-2026-109619 veröffentlichte das PHP-Projekt zwei weitere Sicherheitslücken. Diese sind deutlich schwerwiegender: Sie können die Ausführung fremden Programmcodes auf einem Server ermöglichen, sogenannte Remote Code Execution. Das PHP-Projekt selbst bewertet beide mit 9,2 von 10 Punkten nach der neueren Bewertungsmethode CVSS 4.0, eine unabhängige Analyse der amerikanischen Schwachstellendatenbank kommt nach der älteren Methode CVSS 3.1 sogar auf 9,8 von 10. Der Unterschied liegt an der verwendeten Methode, nicht an einer unterschiedlichen Einschätzung der Gefährlichkeit: Beide Werte gelten als kritisch. Die Sicherheitsfirma Wiz, die an der Entdeckung beteiligt war, hat den beiden Lücken den inzwischen vielzitierten Namen „PHP2Shell" gegeben.

Das PHP-Projekt warnt ausdrücklich vor den Risiken und fordert Betreiber betroffener Systeme zu einem umgehenden Update auf. Anders als bei der SOAP-Lücke ist die Betroffenheit hier nicht auf Anwendungen mit einer bestimmten SOAP-Schnittstelle beschränkt. Sie betrifft grundsätzlich jede PHP-Installation, die Webanfragen entgegennimmt, egal ob über PHP-FPM, Apache, FrankenPHP oder einen anderen Server.

Damit verschärft sich die Situation deutlich. Während die September-Lücke vor allem bestimmte Serverkonfigurationen betrifft, müssen die beiden neuen Schwachstellen grundsätzlich bei allen PHP-Systemen geprüft werden, die Webanfragen verarbeiten.

Was bedeutet das für Magento, Drupal und Akeneo?

Für Unternehmen ist nicht allein entscheidend, welche Sicherheitslücke entdeckt wurde. Entscheidend ist, ob die eigene Systemlandschaft betroffen ist.

Magento und Adobe Commerce

Onlineshops verbinden häufig Produktdaten, Kundenkonten, Bestellungen und externe Geschäftssysteme. Sicherheitsprobleme auf Ebene der PHP-Laufzeit können deshalb die Verfügbarkeit oder Sicherheit zentraler Geschäftsprozesse gefährden.

Magento und Adobe Commerce unterstützen unterschiedliche PHP-Versionen, abhängig vom jeweiligen Release: Für den produktiven Betrieb von Adobe Commerce beziehungsweise Magento Open Source 2.4.9 lässt Adobe laut eigenen Systemanforderungen ausschliesslich PHP 8.5 zu, PHP 8.4 nur für den Umstieg selbst, nicht für den produktiven Einsatz. Ein Sicherheitsupdate muss deshalb immer mit den offiziellen Kompatibilitätsanforderungen der eingesetzten Version abgeglichen werden. Magento ist eines der Systeme, mit denen wir arbeiten.

Drupal

Auch Drupal setzt auf PHP. Ob eine bestimmte Schwachstelle ausgenutzt werden kann, hängt von der installierten PHP-Version, der Serverkonfiguration und gegebenenfalls zusätzlichen Modulen ab.

Ein aktueller Drupal-Core allein garantiert deshalb nicht, dass auch die darunterliegende PHP-Umgebung auf dem neuesten Sicherheitsstand ist.

Akeneo PIM

Bei Akeneo hängt die Verantwortung für PHP-Updates vom Betriebsmodell ab. Für selbst verwaltete Installationen sind die eingesetzte Anwendungsversion, die Laufzeitumgebung und die Herstellerfreigaben relevant. Bei verwalteten Cloud-Angeboten liegt die Verantwortung für Teile der technischen Infrastruktur beim Anbieter. Für Betreiberinnen und Betreiber, die im Bereich PIM mit unserem Partner Akeneo arbeiten, sollte die konkrete Betroffenheit anhand des verwendeten Produkts und Betriebsmodells beurteilt werden.

Für alle drei Plattformen gilt: Eine aktuelle Anwendung ersetzt keine regelmässige Sicherheitswartung der darunterliegenden Infrastruktur.

Welche PHP-Versionen sind aktuell erforderlich?

Am 21. Oktober 2026 wurden folgende Sicherheitsversionen veröffentlicht:

• PHP 8.2: Sicherheitsversion 8.2.35
• PHP 8.3: Sicherheitsversion 8.3.36
• PHP 8.4: Sicherheitsversion 8.4.27
• PHP 8.5: Sicherheitsversion 8.5.12

Diese Versionen enthalten die Korrekturen der beiden neuen kritischen Schwachstellen. Bei älteren Versionsständen muss geprüft werden, ob entsprechende Sicherheitskorrekturen bereits durch den Hosting- oder Betriebssystemanbieter bereitgestellt wurden.

Ein zusätzlicher Punkt verdient Aufmerksamkeit: PHP 8.2 erreicht am 31. Dezember 2026 das Ende seines offiziellen Sicherheits-Supports. Unternehmen, die diesen Versionszweig weiterhin einsetzen, sollten die Migration rechtzeitig planen.

Ein Update ist dabei nicht einfach ein Wechsel auf die höchste verfügbare Versionsnummer. Entscheidend ist, welche PHP-Version von der jeweiligen Anwendung offiziell unterstützt wird.

Was Unternehmen jetzt konkret tun sollten

Wer einen PHP-basierten Onlineshop, ein CMS oder eine geschäftskritische Webanwendung betreibt, sollte fünf Fragen beantworten können:

1. Welche PHP-Version läuft produktiv? Nicht nur die Hauptversion, sondern der vollständige Versionsstand ist relevant.
2. Sind die aktuellen Sicherheitskorrekturen installiert? Dabei müssen auch Updates des Hosting- oder Betriebssystemanbieters berücksichtigt werden.
3. Ist die eingesetzte Anwendung mit der korrigierten PHP-Version kompatibel? Das betrifft auch Erweiterungen, Integrationen und individuelle Entwicklungen.
4. Wer ist für die Updates verantwortlich? Interne IT, Hosting-Partner, Softwareanbieter oder externer Dienstleister: Die Zuständigkeit muss eindeutig geregelt sein.
5. Gibt es einen geregelten Wartungsprozess? Sicherheitsmeldungen müssen geprüft, relevante Updates getestet und zeitnah eingespielt werden. Bei CVE-2026-109618/109619 lagen laut Berichterstattung nur rund 24 Stunden zwischen einem vorzeitigen Leck der Details und der offiziellen Veröffentlichung am 21. Oktober. Ein Wartungsprozess, der für eine Reaktion in Tagen oder Wochen ausgelegt ist, reicht für eine Lücke dieser Kategorie nicht aus.

Eine zusätzliche Prüfung lohnt sich insbesondere bei älteren Integrationen mit ERP-, PIM- oder Drittsystemen. Solche Schnittstellen bleiben oft über Jahre im Einsatz und können bei Sicherheitsprüfungen leicht übersehen werden.

Patchen als Daueraufgabe

Allein zwischen Juli und Oktober 2026 veröffentlichte das PHP-Projekt vier eigenständige Sicherheitsupdate-Runden für die aktuell unterstützten Versionszweige 8.2 bis 8.5. Das zeigt ein grundlegendes Problem: Software entwickelt sich kontinuierlich weiter, und damit verändern sich auch die Anforderungen an ihren sicheren Betrieb.

Wer einen Onlineshop oder eine digitale Plattform modernisiert, investiert häufig in Funktionen, Benutzerfreundlichkeit und neue Integrationen. Die technische Wartung im Hintergrund erhält dagegen oft weniger Aufmerksamkeit. Nach unserer Erfahrung in der technischen Betreuung von Digital-Commerce-Projekten bleibt gerade die stabilste, am längsten unverändert laufende Plattform am ehesten ungepatcht: Wer ein System selten anfasst, weil es zuverlässig läuft, vergisst leicht, auch die Laufzeitumgebung darunter regelmässig zu prüfen.

Dabei können gerade ungepatchte Laufzeitumgebungen zum Risiko werden, selbst wenn die eigentliche Anwendung regelmässig weiterentwickelt wird.

Das heisst allerdings nicht automatisch, dass jede gemeldete Sicherheitslücke für jedes Unternehmen eine akute Bedrohung darstellt. Eine seriöse Einschätzung berücksichtigt immer die betroffene Softwareversion, die konkrete Konfiguration, mögliche Angriffswege und die Auswirkungen auf den Geschäftsbetrieb.

Die entscheidende Frage ist deshalb weniger, ob die nächste PHP-Sicherheitslücke entdeckt wird, als ob Ihr Unternehmen darauf vorbereitet ist.

Wann wurde Ihre PHP-Umgebung zuletzt überprüft?

Arcmedia begleitet Unternehmen seit 1995 bei Digital-Commerce-Projekten, von der Analyse über die Implementierung bis zum laufenden Betrieb. Unsere Expertinnen und Experten beraten Sie gerne zu Ihrem Vorhaben.

Kontaktieren Sie uns

Bleiben Sie up-to-date mit den neuesten Trends und Tipps: abonnieren Sie unseren Newsletter.

Glossar

Fachbegriffe aus diesem Artikel, kurz und einfach erklärt, in alphabetischer Reihenfolge:

• CMS (Content Management System): eine Software zur Verwaltung und Veröffentlichung von Website-Inhalten, zum Beispiel Drupal.
• CVE (Common Vulnerabilities and Exposures): die weltweit genutzte Kennung für einzelne Sicherheitslücken, zum Beispiel CVE-2026-91765.
• CVSS (Common Vulnerability Scoring System): ein Standardverfahren, das die Schwere einer Sicherheitslücke auf einer Skala von 0 bis 10 bewertet.
• ERP (Enterprise Resource Planning): Software für Finanzen, Lager und Bestellabwicklung im Hintergrund eines Unternehmens.
• PIM (Product Information Management): die zentrale Verwaltung von Produktdaten über alle Verkaufskanäle hinweg.
• SOAP (Simple Object Access Protocol): ein älterer, textbasierter Standard, über den zwei Systeme strukturierte Daten austauschen.

Quellen

• GitHub Security Advisory GHSA-rgrp-mwpx-f6rm (Repository php/php-src): CVE-2026-91765, veröffentlicht 24. September 2026
• National Vulnerability Database (NVD), CVE-2026-91765, Publikation 25. September 2026
• php.net, Release-Ankündigungen PHP 8.2.34 / 8.3.35 / 8.4.26 / 8.5.11, 24. September 2026
• php.net, News-Archiv und ChangeLog-8.php: Release-Ankündigungen und Sicherheitshinweis PHP 8.2.35 / 8.3.36 / 8.4.27 / 8.5.12, 21. Oktober 2026
• GitHub Security Advisories GHSA-w8hw-w9fx-j79w und GHSA-6wmf-4rv5-p3rp (Repository php/php-src): CVE-2026-109618 und CVE-2026-109619, veröffentlicht 21. Oktober 2026
• National Vulnerability Database (NVD), CVE-2026-109618 und CVE-2026-109619, Publikation 21. Oktober 2026
• MITRE CVE Services (cve.org), CVE-2026-109618 und CVE-2026-109619
• Cyber Security Agency of Singapore (CSA), Advisory AL-2026-151 zu „PHP2Shell"
• Wiz, Sicherheitsanalyse „PHP2Shell"
• Adobe, Entwicklerdokumentation zu den Web-API-Protokollen von Adobe Commerce
• Adobe Experience League, Systemanforderungen und Release Notes Adobe Commerce 2.4.9
• Drupal.org, Systemanforderungen Drupal 10 und 11
• php.net / HeroDevs, End-of-Life-Übersicht PHP 8.2