Eine schwerwiegende Sicherheitswarnung sorgt am 21. Oktober 2026 weltweit für Unruhe bei Website-Betreibern und Hosting-Unternehmen. Im Mittelpunkt stehen zwei kritische Schwachstellen in der Programmiersprache PHP, die unter anderem bei WordPress, Onlineshops und zahlreichen Webanwendungen eingesetzt wird. Angreifer könnten betroffene Server unter bestimmten Voraussetzungen aus der Ferne kompromittieren. Erste Unternehmen haben bereits reagiert und schalten ihre Dienste vorsorglich ab. Sicherheitsbehörden empfehlen dringend, verfügbare Updates schnellstmöglich zu installieren.
Zwei kritische Sicherheitslücken bedrohen zahlreiche Websites
Die Warnung stammt direkt vom PHP-Sicherheitsteam, das am 20. Oktober die Veröffentlichung außerplanmäßiger Sicherheitsupdates angekündigt hat.
Betroffen sind nach bisherigen Informationen zwei Schwachstellen, die unter den Kennungen CVE-2026-109618 und CVE-2026-109619 geführt werden.
Das könnte dich auch interessieren
Beide wurden mit einem Schweregrad von 9,2 auf der zehnstufigen CVSS-Skala bewertet und gelten damit als kritisch.
Besonders problematisch ist die mögliche Auswirkung. Nach Einschätzung von Sicherheitsforschern könnten die Schwachstellen unter bestimmten Voraussetzungen eine sogenannte Remote Code Execution ermöglichen.
Dabei kann ein Angreifer eigenen Programmcode auf einem fremden Server ausführen, ohne zuvor ein reguläres Benutzerkonto besitzen zu müssen.
Abhängig von der tatsächlichen Sicherheitslücke und den Berechtigungen des betroffenen Systems könnten dadurch Daten ausgespäht, Webseiten verändert oder weitere Schadprogramme eingeschleust werden.
Die vollständigen technischen Einzelheiten waren zum Zeitpunkt der ersten Warnungen noch nicht öffentlich dokumentiert.
WordPress und zahlreiche weitere Plattformen könnten betroffen sein
Die möglichen Auswirkungen sind deshalb so groß, weil PHP zu den wichtigsten Grundlagen des modernen Internets gehört.
Die Programmiersprache wird auf unzähligen Websites eingesetzt und übernimmt dort Aufgaben wie die Verarbeitung von Anfragen, die Kommunikation mit Datenbanken und die Bereitstellung dynamischer Inhalte.
Auch viele bekannte Content-Management-Systeme und Onlineshop-Plattformen verwenden PHP.
Dazu gehören unter anderem WordPress, Drupal, Joomla und Magento.
Das bedeutet allerdings nicht, dass sämtliche Websites dieser Plattformen bereits angegriffen wurden oder automatisch kompromittiert sind.
Entscheidend ist, welche PHP-Version verwendet wird, wie der Server konfiguriert ist und ob die jeweilige Schwachstelle unter den vorhandenen Bedingungen ausgenutzt werden kann.
CERT-EU warnt vorsorglich davor, dass zahlreiche PHP-Versionen betroffen sein könnten. Nach der bisherigen Einschätzung reicht das mögliche Risiko bis zu älteren Versionen der Programmiersprache zurück.
Welche Versionen tatsächlich verwundbar sind, soll durch die Veröffentlichung der Sicherheitsupdates genauer geklärt werden.
Erste Unternehmen schalten ihre Dienste bereits ab
Die Warnung hat inzwischen konkrete Auswirkungen.
So informierte der deutsche Rechnungsdienstleister easybill seine Kunden darüber, dass die eigene Anwendung und Website vorübergehend nicht erreichbar seien.
Das Unternehmen begründet die Entscheidung mit einer globalen Sicherheitslücke und erklärt, die Systeme vorsorglich abgeschaltet zu haben, um Kundendaten zu schützen.
Nach Angaben von easybill seien die gespeicherten Kundendaten sicher. An der Wiederherstellung der regulären Verfügbarkeit werde gearbeitet.
Ob die Abschaltung unmittelbar auf die beiden aktuell diskutierten PHP-Schwachstellen zurückzuführen ist, hat das Unternehmen in der vorliegenden Mitteilung allerdings nicht ausdrücklich bestätigt.
Auch im Hosting-Bereich gibt es bereits konkrete Einschränkungen.
Der deutsche Anbieter manitu meldete am 21. Oktober um 8:50 Uhr den Beginn zusätzlicher Wartungs- und Sicherheitsmaßnahmen aufgrund einer schweren PHP-Sicherheitslücke.
Dadurch könnten bestimmte Funktionen und Dienste zeitweise nicht verfügbar sein. Der Anbieter schließt auch länger anhaltende Einschränkungen nicht aus.
Damit zeigt sich bereits vor der vollständigen technischen Aufarbeitung, welche Folgen eine weitverbreitete Schwachstelle für den Betrieb moderner Onlinedienste haben kann.
Sicherheitsupdates für den 21. Oktober angekündigt
Das PHP-Entwicklerteam hat die Veröffentlichung der Sicherheitskorrekturen für den 21. Oktober 2026 um 16 Uhr deutscher Zeit angekündigt.
Ursprünglich sollten die technischen Einzelheiten bis zur Bereitstellung der Updates zurückgehalten werden.
Allerdings gelangten bereits vorher Informationen über die Schwachstellen an die Öffentlichkeit.
Dadurch besteht die Gefahr, dass Angreifer versuchen, mögliche Sicherheitslücken auszunutzen, bevor sämtliche Betreiber ihre Systeme aktualisieren konnten.
Laut Reuters beobachtet auch der Sicherheitsanbieter Cloudflare bereits erste verdächtige Aktivitäten und arbeitet an zusätzlichen Schutzmaßnahmen.
Ob daraus tatsächlich erfolgreiche Angriffe auf bestimmte Unternehmen entstanden sind, lässt sich bislang nicht allgemein bestätigen.
Die europäische Sicherheitsorganisation CERT-EU empfiehlt deshalb, betroffene Anwendungen möglichst schnell zu identifizieren und nach Veröffentlichung der korrigierten PHP-Versionen unverzüglich zu aktualisieren.
Wenn eine zeitnahe Absicherung nicht möglich ist, kann eine vorübergehende Abschaltung oder Einschränkung öffentlich erreichbarer Dienste sinnvoll sein.
Was bedeutet die Sicherheitswarnung für Gaming-Websites und Spieler?
Auch die Gaming-Branche könnte von den Schwachstellen betroffen sein.
Zahlreiche Gaming-Portale, Community-Websites, Foren, Merchandise-Shops und kleinere Onlineplattformen verwenden PHP oder darauf aufbauende Systeme.
Damit ist grundsätzlich dieselbe technische Infrastruktur betroffen, die auch bei vielen anderen Internetdiensten zum Einsatz kommt.
Für Spieler bedeutet die Warnung allerdings nicht, dass ihre PlayStation, Xbox oder ihr Gaming-PC durch die PHP-Schwachstellen unmittelbar gefährdet sind.
Es geht in erster Linie um die Sicherheit von Servern und Webanwendungen.
Ebenso wenig gibt es durch die aktuellen Warnungen einen bestätigten Zusammenhang mit dem PlayStation Network, Xbox Live oder anderen großen Gaming-Onlinediensten.
Sollten Betreiber ihre Websites vorübergehend abschalten, muss dahinter zudem nicht zwangsläufig ein erfolgreicher Hackerangriff stecken.
Eine solche Maßnahme kann ausdrücklich dazu dienen, mögliche Angriffe zu verhindern.
Was Website-Betreiber jetzt beachten sollten
Für Betreiber eigener Websites besteht derzeit besonderer Handlungsbedarf.
Zunächst sollte geklärt werden, welche PHP-Version auf dem Server eingesetzt wird und ob der Hosting-Anbieter bereits zusätzliche Schutzmaßnahmen aktiviert hat.
Sobald passende Sicherheitsupdates zur Verfügung stehen, sollten diese möglichst zeitnah installiert werden.
Dabei ist wichtig, dass ein gewöhnliches WordPress-Update nicht automatisch die darunterliegende PHP-Version aktualisiert.
Die Absicherung muss auf Serverebene erfolgen. Bei verwaltetem Webhosting übernimmt dies häufig der Anbieter, während Betreiber eigener Server selbst verantwortlich sind.
Zusätzlich sind aktuelle Datensicherungen und die Kontrolle ungewöhnlicher Serveraktivitäten sinnvoll.
Wer nicht sicher ist, ob sein System betroffen ist, sollte die Sicherheitsinformationen des eigenen Hosting-Anbieters beachten.
Könnte auch der PlayStation Store betroffen sein?
Die Sicherheitswarnung wirft auch die Frage auf, ob große Gaming-Plattformen wie der PlayStation Store betroffen sein könnten.
Sony betreibt mit dem PlayStation Store eine umfangreiche Onlineplattform, über die Millionen Spieler digitale Spiele, Erweiterungen und Abonnements erwerben.
Ob Sony innerhalb seiner technischen Infrastruktur verwundbare PHP-Versionen einsetzt, ist öffentlich allerdings nicht bekannt. Deshalb lässt sich derzeit nicht beurteilen, ob die aktuellen Schwachstellen für den PlayStation Store überhaupt relevant sind.
Bislang gibt es keine bestätigten Hinweise darauf, dass der PlayStation Store aufgrund der beiden Sicherheitslücken angegriffen wurde oder vorsorglich abgeschaltet werden musste.
Gleiches gilt für andere große Gaming-Dienste wie Xbox und Steam.
Für Spieler besteht deshalb aktuell kein Grund, von einer unmittelbaren Gefährdung ihrer PlayStation-Konten auszugehen. Die Sicherheitswarnung betrifft zunächst verwundbare Server und Webanwendungen, nicht die Konsolen selbst.
Weitere Entwicklungen in den kommenden Stunden erwartet
Wie groß die tatsächlichen Auswirkungen der beiden Schwachstellen ausfallen, lässt sich derzeit noch nicht abschließend beurteilen.
Die angekündigten PHP-Sicherheitsupdates sollen genauere Informationen über betroffene Versionen und die technischen Hintergründe liefern.
Auch der Umfang möglicher Angriffe ist bislang Gegenstand laufender Untersuchungen.
Fest steht allerdings, dass die Warnung von internationalen Sicherheitsbehörden ernst genommen wird und bereits konkrete Vorsichtsmaßnahmen bei Hosting-Unternehmen und Onlinediensten auslöst.
Ob zusätzliche Websites vorübergehend abgeschaltet werden müssen, hängt insbesondere davon ab, wie schnell die Sicherheitskorrekturen bereitgestellt und installiert werden können.
Für Nutzer gilt vorerst: Eine nicht erreichbare Website ist nicht automatisch ein Hinweis auf gestohlene Daten. In der aktuellen Situation kann die vorübergehende Abschaltung gerade ein Zeichen dafür sein, dass ein Anbieter seine Systeme vorsorglich absichert.
Lass uns deine Meinung in den Kommentaren wissen.
