Aktualisierung vom 22.10.2026
Für PHP 7.4 liegen inzwischen Korrekturen vor. Die angekündigte Abschaltung gilt deshalb nur noch für Versionen älter als PHP 7.4. Wenn Sie PHP 7.4 bis 8.5 nutzen, ist für Sie nichts zu tun.
Was ist passiert
Das PHP-Projekt hat am 21. Oktober zwei kritische Sicherheitslücken veröffentlicht. Beide sind mit CVSS v4.0 9.2 bewertet und erlauben unter bestimmten Bedingungen das Ausführen von Code aus dem Netz, ohne Anmeldung und bevor Ihre Anwendung überhaupt startet.
- CVE-2026-109618: Remote Code Execution über fehlerhafte Speicherbehandlung
- CVE-2026-109619: Remote Code Execution über fortbestehenden Zustand zwischen Anfragen
Das PHP-Projekt schreibt ausdrücklich, dass es ausser dem Aktualisieren keine vollständige Abhilfe gibt.
Wenn Sie PHP 7.4 bis 8.5 nutzen
Sie müssen nichts tun. Für alle Versionen ab PHP 7.4 liegen Korrekturen vor und sind auf unseren Systemen eingespielt.
Für die unterstützten Zweige hat das PHP-Projekt die Korrekturen in PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35 veröffentlicht. Für PHP 7.4, 8.0 und 8.1, die regulär keine Aktualisierungen mehr erhalten, wurden angesichts der Schwere zusätzlich Korrekturen bereitgestellt. Damit ist die Ausnahme eingetreten, die wir in unserer ersten Mitteilung angekündigt haben, und die Abschaltung dieser Versionen entfällt.
Beim Einspielen werden die PHP-Prozesse neu gestartet. Einzelne laufende Anfragen können dabei abbrechen. Ihre Website und Ihre Daten sind davon nicht betroffen.
Ein Hinweis trotzdem: PHP 7.4, 8.0 und 8.1 sind gegen diese beiden Lücken geschützt, stehen aber weiterhin ausserhalb des offiziellen Supports. Das war eine einmalige Ausnahme des PHP-Projekts, keine Rückkehr zur Pflege. Für die nächste Lücke gibt es diese Zusicherung nicht. Sehen Sie es als Aufschub, nicht als Lösung, und planen Sie den Wechsel auf eine unterstützte Version.
Wenn Sie eine Version älter als PHP 7.4 nutzen
Diese Versionen müssen wir abschalten. Betroffen sind PHP 7.3, 7.2, 7.1, 7.0 und alles darunter.
Für diese Versionen gibt es keine Korrektur, von niemandem. Das PHP-Projekt hat die Ausnahme auf 7.4, 8.0 und 8.1 begrenzt. Alles darunter bleibt offen, und auf einem gemeinsam genutzten Server lässt sich das nicht aussitzen. Auf Servern mit mod_php teilen alle Websites denselben Prozess. Die zweite Lücke lässt Daten einer Anfrage über deren Ende hinaus bestehen und von einer späteren Anfrage im selben Prozess weiterverwenden, und diese spätere Anfrage kann zu einer anderen Website gehören. Eine ungepatchte alte PHP-Version gefährdet damit nicht nur die eigene Website, sondern alle anderen auf demselben Server. Deshalb können wir sie nicht weiterlaufen lassen.
Abschaltung: Freitag, 23. Oktober 2026, 9:00 Uhr
Betrifft ausschliesslich Versionen älter als PHP 7.4. Websites, die danach noch auf PHP 7.3 oder älter stehen, führen kein PHP mehr aus.
Was Sie jetzt tun sollten
Wenn Sie eine Version älter als 7.4 nutzen, wechseln Sie bitte vor Freitag 9:00 Uhr. Am besten gleich auf PHP 8.3, 8.4 oder 8.5. Das können Sie selbst erledigen:
- cPanel: MultiPHP Manager, Domain auswählen, PHP-Version setzen
- DirectAdmin: Domain Setup, Domain auswählen, PHP-Version setzen
Prüfen Sie Ihre Website danach. Läuft sie, sind Sie fertig und sicher.
Bitte beachten Sie: PHP 8.2 erreicht am 31. Dezember 2026 sein Lebensende. Wer jetzt ohnehin wechselt, sollte gleich auf 8.4 oder 8.5 gehen und sich den nächsten Wechsel sparen.
Ihre Website läuft auf einer neueren Version nicht mehr?
Melden Sie sich bei uns, und zwar heute. Das ist bei älteren Anwendungen normal und kein Grund zur Sorge. Wir sehen es gemeinsam an, finden heraus, was angepasst werden muss, und begleiten den Wechsel.
Weiterführend: Sicherheitshinweis des PHP-Projekts
