Kritische Sicherheitslücken in PHP Warnung durch das BSI
Am 21. Oktober hat das Bundesamt für Sicherheit in der Informationstechnik (BSI) eine offizielle Warnung vor kritischen Sicherheitslücken in PHP veröffentlicht. PHP ist die Programmiersprache, auf der unter anderem das CMS REDAXO und viele weitere Webanwendungen basieren.
Die vollständige Cybersicherheitswarnung des BSI finden Sie hier:
https://www.bsi.bund.de/SharedDocs/Cybersicherheitswarnungen/DE/2026/2026-297981-1032.html
Was bedeutet das für Ihre Website?
Sicherheitslücken in PHP können dazu genutzt werden, Websites anzugreifen, Daten auszulesen oder Schadcode einzuschleusen. Die vom BSI gemeldeten Lücken wurden als kritisch eingestuft, was bedeutet, dass Handlungsbedarf besteht.
Die gute Nachricht: Viele Hosting-Provider haben sehr schnell reagiert und die betroffenen PHP-Versionen durch Patches und Updates auf den neuesten Stand gebracht. In zahlreichen Fällen ist die Lücke auf Serverseite bereits geschlossen, ohne dass Sie als Kunde aktiv werden mussten.
Was sollten Sie tun?
Prüfen Sie gemeinsam mit Ihrem Hoster oder nehmen Sie Kontakt mit mir auf, ob Ihre Website auf einer aktuellen und gepatchten PHP-Version läuft. Sollten Sie unsicher sein, helfe ich Ihnen gerne dabei, den Stand Ihrer Installation zu überprüfen und gegebenenfalls notwendige Schritte einzuleiten.
Als Betreiber einer Website liegt die Verantwortung für eine sichere technische Grundlage immer auch beim Hosting-Anbieter – dennoch lohnt es sich, den aktuellen Stand im Blick zu behalten und im Zweifelsfall aktiv nachzufragen.
Welche PHP-Versionen sind betroffen?
Alle PHP-Versionen gelten als betroffen.
Die folgenden Tabelle zeigt einer Übersicht der PHP-Versionen und ab welcher Version die gemeldeten Sicherheitslücken behoben wurden.
| Betroffene Versionen | Behebende Version | Hinweis |
|---|---|---|
| PHP 8.5.x und älter | 8.5.12 | Offizielles Update verfügbar |
| PHP 8.4.x und älter | 8.4.27 | Offizielles Update verfügbar |
| PHP 8.3.x und älter | 8.3.36 | Offizielles Update verfügbar |
| PHP 8.2.x und älter | 8.2.35 | Offizielles Update verfügbar |
| Ältere Versionen (PHP 8.1 und früher) | – | Provider-eigene Patches verfügbar – beim Hoster anfragen |
Hinweis: Für ältere PHP-Versionen, die keinen offiziellen Support mehr erhalten, haben viele Hosting-Anbieter eigene Sicherheits-Patches erarbeitet und auf ihren Servern eingerichtet.