Läuft dein Shop auf WooCommerce, Shopware oder einem anderen System, das PHP nutzt? Dann solltest du heute prüfen, ob dein Server schon aktualisiert ist.
Am 21. Oktober hat das PHP-Projekt zwei kritische Sicherheitslücken geschlossen. Das BSI warnt, Angreifer könnten darüber aus der Ferne Schadcode auf Webservern ausführen.
Was passiert ist
Laut CERT-EU haben beide Lücken eine Bewertung von 9,2 von 10 Punkten. Sie erlauben es, Code auszuführen, ohne sich vorher anzumelden. Ein vorgeführter Angriff braucht nur eine einzige Anfrage an den Server.
Betroffen ist praktisch jede PHP-Installation, die Webseiten ausliefert, egal ob über PHP-FPM, Apache oder LiteSpeed. Erste Beispiel-Angriffe kursieren laut CERT-EU bereits öffentlich.
Das BSI wird deutlich. Vizepräsident Thomas Caspers erwartet eine großflächige Ausnutzung innerhalb weniger Stunden nach den Updates, weil Angreifer Patches mit KI-Werkzeugen schnell auswerten können. „Es besteht also unverzüglicher Handlungsbedarf!“
Welche Versionen sicher sind
Die Lücken sind in diesen Versionen geschlossen:
| PHP-Version | sicher ab |
|---|---|
| PHP 8.5 | 8.5.12 |
| PHP 8.4 | 8.4.27 |
| PHP 8.3 | 8.3.36 |
| PHP 8.2 | 8.2.35 |
| PHP 8.1 und älter | keine offiziellen Updates mehr |
Wer noch PHP 8.1 oder älter nutzt, hat ein doppeltes Problem. Für diese Versionen gibt es vom PHP-Projekt keine regulären Updates mehr, nur einzelne Anbieter liefern Nachbesserungen. Der sauberste Weg ist der Wechsel auf eine unterstützte Version.
Was das für deinen Shop heißt
Bei gemietetem Webspace
Auf Shared Hosting spielt in der Regel dein Hoster die Updates ein. Prüf trotzdem im Kundenmenü, welche PHP-Version dein Shop nutzt. Steht dort 8.1 oder älter, stell auf eine aktuelle Version um.
In WordPress findest du die Version unter Werkzeuge, Website-Zustand, Bericht und dort im Bereich Server. Schau außerdem in die Statusmeldungen deines Hosters, ob die Updates schon eingespielt sind.
Fragst du beim Support nach, nenn die Kennungen CVE-2026-109618 und CVE-2026-109619. Dann weiß dein Hoster sofort, worum es geht.
Bei eigenem Server
Betreibst du einen eigenen Server oder ein VPS, bist du selbst zuständig. Spiel die Updates deiner Linux-Distribution sofort ein und starte die PHP-Prozesse neu. Laut CERT-EU haben die Distributionen die Patches vorab bekommen.
Übergangslösungen in der PHP-Konfiguration gibt es zwar. Sie bieten laut CERT-EU aber nur einen Teilschutz und ersetzen das Update nicht.
Bei Shopify und Co.
Nutzt du ein gehostetes Shopsystem, kümmert sich der Anbieter um die Server. Du musst hier nichts einspielen. Worin sich gehostete und selbst betriebene Systeme unterscheiden, steht in unserem Shopsystem-Vergleich.
Wenn du den Shop vom Netz nehmen musst
Kannst du nicht sofort patchen, rät CERT-EU, betroffene Systeme vom öffentlichen Netz zu trennen, bis das Update drin ist. Dann kommt ein Punkt ins Spiel, den viele vergessen: die Suchmaschine.
Google Search Central erinnerte am selben Tag laut PPC Land: „Don’t forget the 503!“ Eine Wartungsseite mit dem Statuscode 503 sorgt dafür, dass deine Seiten im Index bleiben. Sobald der Shop wieder normal antwortet, läuft alles weiter wie vorher.
Eine normale Fehlerseite oder ein 404 ist die schlechtere Wahl, dann fliegen Seiten aus dem Index. Und auch ein 503 ist nur eine Übergangslösung. Halten die Fehler lange an, entfernt Google die Adressen irgendwann trotzdem.
Was du heute erledigen solltest
- Prüf die PHP-Version deines Shops im Hoster-Menü oder in WordPress.
- Liegt sie unter den sicheren Versionen aus der Tabelle, frag beim Hoster nach oder stell selbst um.
- Nutzt du PHP 8.1 oder älter, wechsle auf 8.2 oder neuer und teste danach Shop und Checkout.
- Kannst du nicht sofort aktualisieren, nimm den Shop mit einer 503-Wartungsseite vom Netz.
- Behalte Bestellungen, Admin-Zugänge und Plugins in den nächsten Tagen im Auge und halte ein aktuelles Backup bereit.
Wie schnell Sicherheitslücken in WordPress-Shops ausgenutzt werden, hat schon der Fall aus dem Frühjahr gezeigt, über den wir zur Backdoor in 400.000 Shops berichtet haben. Mehr zum System selbst findest du im Glossar unter WooCommerce.
