BSI-Warnung vom 21. Oktober 2026

Kritische PHP-Lücke: Ist deine Website betroffen?

Das Bundesamt für Sicherheit in der Informationstechnik warnt vor zwei kritischen Schwachstellen in PHP. Darauf laufen WordPress, Joomla, TYPO3, Contao und viele Onlineshops. Mach den Selbstcheck und sieh in einem Klick, ob du handeln musst und was heute noch zu erledigen ist.

Selbstcheck startenDirekt Kontakt aufnehmen
Warum das wichtig ist

Was diese Lücke für deine Website bedeutet

Das BSI spricht davon, dass Angreifer aus der Ferne Schadcode ausführen könnten. Übersetzt heißt das: Ein Fremder kann über das Internet Befehle auf dem Server ausführen, auf dem deine Website liegt. Ohne Passwort und ohne dass du irgendetwas anklickst. Das ist, als hätte jemand einen Nachschlüssel zu deinem Büro.

Und nein, deine Website ist nicht zu klein, um interessant zu sein. Solche Angriffe laufen automatisiert: Programme durchsuchen das Internet nach jedem Server, der die Lücke noch hat. Ob dahinter ein Konzern steht oder ein Makler mit fünf Mitarbeitern, spielt für diese Programme keine Rolle.

Was dann passieren kann

Kundendaten landen in fremden Händen

Anfragen aus deinem Kontaktformular, Kundenkonten oder Bestellungen können ausgelesen werden. Sind personenbezogene Daten betroffen, musst du die Datenpanne in der Regel unverzüglich und möglichst binnen 72 Stunden der Datenschutzbehörde melden.

Quelle: Art. 33 DSGVO

Deine Website greift deine Besucher an

Angreifer können Schadcode einbauen oder Besucher auf Betrugsseiten umleiten. Das passiert oft unbemerkt, und deine Kunden merken es vor dir.

Browser und Google warnen vor dir

Wird auf deiner Seite Schadsoftware entdeckt, können Browser und Suchmaschinen Warnhinweise anzeigen. Anfragen brechen weg, und verlorenes Vertrauen holst du nur schwer zurück.

Dein Server wird missbraucht

Ein übernommener Server kann Spam verschicken oder andere Systeme angreifen. Im schlimmsten Fall sperrt dein Hoster dein Paket, bis alles bereinigt ist.

Warum heute und nicht nächste Woche

  1. Die Lücke ist öffentlich bekannt

    Am 21. Oktober um 16 Uhr haben die PHP-Entwickler Patches und technische Details zu beiden Lücken veröffentlicht. Seitdem kann jeder nachlesen, wo das Problem liegt.

    Quelle: BSI, 21.10.2026
  2. Angreifer wissen, wo sie ansetzen

    Mit diesen Details können Angreifer gezielt nach Servern suchen, die noch nicht gepatcht sind. Laut BSI gibt es bereits unbestätigte Berichte über funktionierende Exploits.

    Quelle: BSI, 21.10.2026
  3. Angriffe sind binnen Stunden möglich

    Das BSI hält eine Ausnutzung schon wenige Stunden nach Veröffentlichung der Updates für möglich. Jeder Tag ohne Patch ist ein Tag, an dem deine Website offen steht.

    Quelle: datensicherheit.de, 21.10.2026
  4. Selbst Behörden ziehen den Stecker

    Das BSI stuft das Risiko mit Warnstufe 3 als außerordentlich hoch ein. Die Stadt Mainz hat vorsorglich mehrere städtische Online-Dienste abgeschaltet.

    Quelle: ZDFheute, 21.10.2026

Ob du betroffen bist, siehst du in einem Klick.

Jetzt Selbstcheck machen
Selbstcheck in einem Klick

Worauf läuft deine Website?

Ob du handeln musst, hängt davon ab, wer den Server und die PHP-Installation hinter deiner Website betreibt. Wähle dein System und du siehst sofort, was für dich gilt.

Dein Ergebnis erscheint hier

Wähle eine der Optionen aus. Du bekommst sofort eine Einschätzung und eine klare To-do-Liste.

Kurz und knapp

Was du jetzt wissen musst

Keine Zeit für alle Details? Diese fünf Punkte reichen, um die Lage richtig einzuschätzen.

  1. Zwei Lücken, beide kritisch

    Das BSI stuft CVE-2026-109618 und CVE-2026-109619 mit 9.2 von 10 Punkten ein. Über die Lücken könnten Angreifer aus der Ferne eigenen Code auf Webservern mit PHP ausführen. Betroffen sind nach aktuellem Stand alle bekannten PHP-Versionen, mindestens bis zurück zu PHP 5.

    Quelle: BSI, Cybersicherheitswarnung vom 21.10.2026

  2. Die Updates sind da, jetzt zählt Tempo

    Seit dem 21. Oktober um 16 Uhr stellen die PHP-Entwickler Patches bereit. Bestätigte Angriffe sind laut BSI noch nicht bekannt, es gibt aber erste unbestätigte Berichte über funktionierende Exploits. Je schneller der Patch drauf ist, desto kleiner ist das Zeitfenster für Angreifer.

    Quelle: BSI, Cybersicherheitswarnung vom 21.10.2026

  3. Ein CMS-Update allein hilft nicht

    Die Lücke steckt nicht in WordPress, Joomla oder TYPO3, sondern in PHP selbst, also in der Software auf dem Server. Aktualisiert werden muss deshalb PHP. Bei normalem Webhosting macht das in der Regel dein Hoster, bei eigenem Server oder Docker-Containern bist du selbst dran.

    Quelle: BSI, Cybersicherheitswarnung vom 21.10.2026

  4. Alte PHP-Versionen bleiben offen

    Sicherheitsupdates gibt es laut PHP-Projekt nur noch für PHP 8.2 bis 8.5, für 8.2 auch nur noch bis zum 31.12.2026. Läuft deine Website auf PHP 8.1 oder älter, kommt für diese Lücke kein Patch mehr.

    Quelle: PHP-Projekt, Supported Versions

  5. Offline nehmen ist selten nötig

    Kläre zuerst, ob dein Hoster gepatcht hat und ob deine Version überhaupt noch Updates bekommt. Eine Wartungsseite ist nur dann sinnvoll, wenn eine veraltete Version läuft, die sich nicht kurzfristig umstellen lässt.

Dein Fahrplan

In 6 Schritten zur abgesicherten Website

Dieser Plan gilt für jede Website, die auf einem selbst betriebenen System mit PHP läuft. Geh ihn der Reihe nach durch. Die ersten drei Schritte solltest du heute noch erledigen.

  1. Schritt 1Heute erledigen

    Finde deine PHP-Version heraus

    Du findest sie im Kundenbereich deines Hosters, meist unter einem Menüpunkt wie PHP-Einstellungen oder PHP-Version. In WordPress steht sie zusätzlich unter Werkzeuge, Website-Zustand, Bericht und dort im Bereich Server.

  2. Schritt 2Heute erledigen

    Frag deinen Hoster direkt

    Stell eine klare Frage: Sind die korrigierten PHP-Versionen eingespielt, und seit wann? Bei klassischem Webhosting kümmert sich meist der Hoster darum. Betreibst du einen eigenen Server, macht es niemand außer dir.

  3. Schritt 3Heute erledigen

    Stell veraltete Versionen um

    Bei PHP 8.1 oder älter gibt es keinen Patch. Wechsle auf eine unterstützte Version und teste danach, ob Seiten, Kontaktformulare und Shop noch sauber laufen.

  4. Schritt 4

    Denk an Docker-Container

    Ein Container bringt seine eigene PHP-Version mit. Ein Update auf dem Server kommt dort nicht an. Das Basis-Image muss neu geladen und der Container neu gebaut werden.

  5. Schritt 5

    Räum Plugins und Themes auf

    Die aktuelle Lücke sitzt zwar in PHP, die meisten Angriffe auf Websites laufen aber weiterhin über Erweiterungen. Bring alles auf den neuesten Stand und lösch, was nicht mehr gepflegt wird.

  6. Schritt 6

    Behalte deine Website im Blick

    Das BSI rät, erreichbare PHP-Webserver verstärkt zu überwachen. Warnsignale sind neue Admin-Konten, unbekannte Dateien und Weiterleitungen, die du nicht eingerichtet hast.

Muss deine Website jetzt offline?

Meistens nicht. Entscheidend ist, ob dein Hoster gepatcht hat und ob deine PHP-Version noch Updates bekommt. Nur wenn eine veraltete Version läuft, die sich nicht schnell umstellen lässt, kann eine Wartungsseite bis zur Umstellung die sicherere Wahl sein.

Website prüfen lassen
Meine Einordnung

Warum ich auf geschlossene Systeme setze

Die PHP-Warnung ist kein Einzelfall. Solche Meldungen kommen immer wieder. Die wichtigste Frage ist deshalb nicht, welches System du nutzt, sondern wer es pflegt.

Bei einem geschlossenen System wie OnePage, auf dem ich die Websites meiner Kunden baue, kümmert sich der Anbieter zentral um Server, Software und Sicherheitsupdates. Eine Lücke wird einmal geschlossen und ist dann für alle Websites auf der Plattform erledigt. Plugins und Serverpflege fallen weg und damit auch die häufigste Einfallstür. Ehrlicherweise gilt aber auch: Ein Restrisiko hat jede Software.

Selbst betriebenes System

z. B. WordPress, Joomla, TYPO3
  • PHP, Datenbank und Server hältst du oder dein Hoster aktuell.
  • Jedes Plugin und jedes Theme braucht eigene Updates.
  • Ohne klare Zuständigkeit bleiben Updates liegen.
  • Dafür hast du volle Kontrolle und kannst fast jede Funktion nachrüsten.

Gehostetes, geschlossenes System

z. B. OnePage
  • Server, Software und Sicherheit liegen zentral beim Anbieter.
  • Keine Fremd-Plugins, die einzeln gepflegt werden müssen.
  • Weniger technischer Spielraum, dafür kaum Wartungsaufwand.
  • Du bindest dich an einen Anbieter. Das gehört fair mit in die Abwägung.

Umstieg auf OnePage: Ich kümmere mich darum

Ich baue deine Website auf Basis deiner bisherigen Inhalte neu auf. Danach sind Server, PHP-Versionen und Plugins nicht mehr dein Thema, und bei der nächsten Warnung musst du nicht selbst reagieren.

Dominik Lemcke, Lemcke Marketing
Umstieg unverbindlich besprechen
Häufige Fragen

Antworten zur PHP-Warnung

Die Fragen, die ich seit der Warnung am häufigsten höre. Stand der Antworten: 21. Oktober 2026.

Nein, du musst nichts tun. OnePage ist ein geschlossenes System, das der Anbieter betreibt. Du hast dort weder einen eigenen Server noch eine eigene PHP-Installation. Sicherheitsupdates spielt der Anbieter zentral für alle Websites ein.

Quellen und Stand der Informationen

Stand: 21. Oktober 2026, abends. Die Lage entwickelt sich schnell. Maßgeblich sind die jeweils aktuelle Warnung des BSI und die Sicherheitshinweise der PHP-Entwickler. Diese Seite ersetzt keine individuelle Sicherheits- oder Rechtsberatung.

Kontakt aufnehmen

Lass deine Website jetzt prüfen

Du bist dir unsicher, ob deine Website betroffen ist, oder brauchst Hilfe beim Absichern? Schick mir deine Website-Adresse. Ich schaue mir an, worauf sie läuft, und sage dir klar, was zu tun ist.

  • Kostenlose Ersteinschätzung deiner Website
  • Klare Aussage, ob und was du tun musst
  • Antwort in der Regel innerhalb von 24 Stunden
Lieber per Mail?kontakt@lemckemarketing.de
Lieber direkt sprechen?Erstgespräch anfragen
© 2026 Lemcke Marketing
ImpressumDatenschutz