PHP-Sicherheitslücke: 10 Minuten vom Update bis live
Am 21. Oktober 2026 hat PHP zwei kritische Sicherheitslücken geschlossen. Wir haben alle unsere Server innerhalb von 10 Minuten nach dem Release aktualisiert. Hier erfährst du, was dahintersteckt, warum es diesmal besonders schnell gehen musste und was das für deine Website bedeutet.
Grafik mit dem Text „10 Minuten vom Update bis live.“, daneben ein Laptop mit Code-Editor auf einem Schreibtisch, darüber Symbole für Schloss, Schild und Server.
Was ist passiert?
PHP ist die Programmiersprache, auf der ein großer Teil des Webs läuft. WordPress, viele Online-Shops und Buchungssysteme bauen darauf auf. Bei uns steckt PHP hinter fast allem: hinter den Websites unserer Kund*innen, hinter Shops und Plattformen und hinter unserer Vereinssoftware vynst.
Am 21. Oktober hat das PHP-Projekt zwei Sicherheitslücken geschlossen. Über beide konnte jemand von außen unter bestimmten Bedingungen eigenen Code auf einem Server ausführen, ohne sich anzumelden. Die Lücken sind mit 9,2 von 10 Punkten als kritisch eingestuft.
Die gute Nachricht für dich: Wenn wir deine Website betreuen, ist alles erledigt. Du musst nichts tun.
Warum es diesmal schnell gehen musste
Normalerweise wird so ein Fix im Stillen vorbereitet und an einem festen Termin veröffentlicht. Diesmal sickerten schon vorher Informationen durch. Ein Video mit einer Demo machte die Runde, erste Proof-of-Concepts tauchten auf. Das PHP-Team hat die Veröffentlichung deshalb um einen Tag vorgezogen.
Das heißt: In dem Moment, in dem das Update erschien, wussten auch Angreifende, wonach sie suchen mussten. Die Stunden danach zählten.
Was wir gemacht haben
- 20. Oktober, abends: PHP kündigt den Fix an.
- 21. Oktober, 16:00 Uhr: Die gepatchten Versionen erscheinen.
- 21. Oktober, 16:10 Uhr: Alle von uns betreuten Websites und vynst laufen auf der gesicherten Version.
Unsere Kund*innen mussten dafür nichts tun. Kein Ticket, keine Rückfrage.
Und deine Website?
Wenn deine Website woanders läuft, lohnt sich ein kurzer Check:
- 8.5.12, 8.4.27, 8.3.36, 8.2.35 oder neuer: gepatcht, alles gut.
- Ältere Versionen von 8.2 bis 8.5: betroffen, bitte updaten.
- 8.1 und älter: bekommt keine Fixes mehr, ein Upgrade ist nötig.
Du weißt nicht, welche Version bei dir läuft? Dann stell deiner Agentur zwei Fragen: Welche PHP-Version läuft bei uns gerade? Und wie schnell ist ein Sicherheitsupdate bei euch live?
Fazit: Sicherheit ist bei uns Grundlage
Sicherheit ist bei uns kein Zusatzpaket. Wir kennen jede Website, die auf unseren Servern läuft. Deshalb können wir reagieren, sobald es nötig ist, statt auf den nächsten Wartungstermin zu warten.
Unsicher, ob deine Website auf dem aktuellen Stand ist?
Schreib uns einfach eine kurze Nachricht oder melde dich direkt bei deiner Ansprechperson bei uns. Wir schauen gemeinsam drauf.
Mehr zu den technischen Hintergründen: Beitrag der PHP Foundation (englisch).
Kurz zusammengefasst: FAQ
Muss ich als inwendo-Kund*in etwas tun?
Nein. Alle Websites auf unseren Servern liefen am 21. Oktober um 16:10 Uhr auf der gepatchten PHP-Version.
Welche PHP-Versionen sind betroffen?
Alle Versionen der Reihen 8.2 bis 8.5, die älter sind als 8.2.35, 8.3.36, 8.4.27 bzw. 8.5.12. PHP 8.1 und älter bekommt gar keine Sicherheitsupdates mehr.
Wie finde ich heraus, welche Version bei mir läuft?
Am einfachsten fragst du deine Agentur oder deinen Hoster. In WordPress siehst du die Version auch unter Werkzeuge → Website-Zustand → Bericht → Server.
