Aktuelles von weitzeldesign. Projekte und mehr…

Am 21. Oktober 2026 haben die PHP-Entwickler Sicherheitsupdates veröffentlicht, die gleich zwei kritische Schwachstellen beheben (CVE-2026-109618 und CVE-2026-109619). Beide erreichen auf der gängigen Bewertungsskala CVSS 4.0 den Wert 9,2 von 10.

PHP ist die Programmiersprache, auf der Contao und ein Großteil aller Websites laufen. Deshalb betrifft diese Meldung sehr viele Seiten, auch Ihre, wenn sie nicht gewartet wird. Hier erkläre ich, was passiert ist, und warum regelmäßige Wartung der beste Schutz ist.

Was ist passiert?

Laut den PHP-Entwicklern können die beiden Lücken im schlimmsten Fall dazu führen, dass Fremde ohne Anmeldung aus der Ferne Programmcode auf Ihrem Server ausführen. Das nennt man „Remote Code Execution”. Es ist die Kategorie von Schwachstellen, die Sicherheitsfachleute am meisten fürchten, weil Angreifer damit im Prinzip die Kontrolle über die Seite oder den Server übernehmen können.

Das Heikle daran: Das Risiko besteht bei allen Installationen, die Webanfragen verarbeiten, auch dann, wenn die Website selbst sauber programmiert ist und Contao aktuell ist. Die PHP-Entwickler sehen das Risiko bei einer bestimmten Betriebsart (mod_php) am höchsten. Dort gibt es einen Beispielangriff, bei dem eine einzige Anfrage ausreicht, bevor überhaupt Programmcode der Website läuft.

Betroffen sind die Versionen PHP 8.2, 8.3, 8.4 und 8.5. Die korrigierten Versionen heißen 8.5.12, 8.4.27, 8.3.36 und 8.2.35. Wichtig ist auch die Einschätzung der Entwickler: Es gibt keine vollständigen Notlösungen, nur das Update ist wirklich sicher.

Was bedeutet das für Sie?

Wenn Ihre Website auf einem Server mit einer älteren PHP-Version läuft, ist sie ab sofort angreifbar. Mit der Veröffentlichung eines Updates werden die Schwachstellen öffentlich beschrieben. Das ist wichtig für die Sicherheit, hilft aber auch Angreifern, die danach suchen. Automatisierte Programme durchsuchen das Netz ständig nach ungepatchten Servern. Dabei spielt es keine Rolle, ob es sich um einen Konzern oder einen kleinen Betrieb handelt.

Die Entwickler hatten das Update einen Tag vorher angekündigt, damit sich Betreiber vorbereiten können. Wer regelmäßig gewartet wird, hat genau das getan.

Ein weiterer Stolperstein: Veraltete PHP-Versionen

Die PHP-Entwickler weisen außerdem darauf hin, dass PHP 8.1 und ältere Versionen keine Updates mehr vom PHP-Projekt erhalten. Manche Hoster und Linux-Anbieter liefern eigene Korrekturen nach, aber darauf sollte man sich nicht blind verlassen. Auch PHP 8.2 ist nicht mehr lange sicher: Die Unterstützung endet am 31. Dezember 2026.

Das zeigt, warum Updates mehr sind als das Einspielen von Patches. Auch die Versionsplanung gehört dazu. Wer eine Seite jahrelang unverändert laufen lässt, sitzt irgendwann auf einer Version, für die es gar keine Sicherheitsupdates mehr gibt.

Warum Updates nicht einfach „nebenbei” gehen

Ein PHP-Update klingt nach einem Klick, ist aber bei einer Website mit mehreren Bausteinen oft mehr:

• PHP, Contao und Erweiterungen müssen zusammenpassen. Ein neues PHP kann mit einer alten Erweiterung Probleme machen.
• Nach jedem Update sollte geprüft werden, ob alles noch funktioniert: Formulare, Shop, Newsletter, Suche.
• Je länger man wartet, desto größer werden die Sprünge, und desto riskanter und teurer wird das Aufholen.

Kleine, regelmäßige Schritte sind sicherer und günstiger als ein großer Notfall-Einsatz.

Warum ich Wartungsverträge für Contao-Seiten anbiete

Contao ist ein stabiles und sicherheitsbewusstes Redaktionssystem, das ich meinen Kunden gern empfehle. Aber auch das beste System schützt nur, wenn die ganze Kette aktuell ist: PHP, Contao und alle Erweiterungen.

Mit einem Wartungsvertrag kümmere ich mich darum, dass genau das passiert:

• Beobachtung von Sicherheitsmeldungen zu PHP, Contao und eingesetzten Erweiterungen
• Kontrolle, dass Ihr Server auf einer sicheren PHP-Version läuft, und Abstimmung mit dem Hoster, wenn nicht
• Regelmäßige Contao- und Erweiterungs-Updates, getestet, bevor sie live gehen
• Backups, damit im Ernstfall nichts verloren geht
• Rechtzeitige Planung von Versionswechseln, damit Ihre Seite nie auf einer abgelaufenen PHP-Version hängen bleibt
• Einen festen Ansprechpartner, statt hektischer Suche, wenn es brennt

Für Sie heißt das: Sie müssen sich um nichts kümmern und wissen trotzdem, dass Ihre Seite abgesichert ist. Die Kosten sind planbar. Ein Notfall nach einem Angriff ist es nicht, und er ist in aller Regel deutlich teurer.

Mein Fazit

Eine Website ist kein Plakat, das man einmal aufhängt und vergisst. Sie ist eher wie ein Auto, das regelmäßig zur Inspektion muss. Die Meldung vom 21. Oktober ist ein gutes Beispiel: Wer gewartet wird, war vorbereitet und hat vermutlich kaum etwas davon mitbekommen. Wer nicht gewartet wird, hat jetzt ein Problem, von dem er vielleicht noch gar nichts weiß.

Sie haben noch keinen Wartungsvertrag oder sind unsicher, ob Ihre Seite auf einer sicheren PHP-Version läuft?
Schreiben Sie mir, ich prüfe das für Sie.

Quelle: Sicherheitshinweis der PHP-Entwickler vom 21.10.2026