Kritische PHP-Lücken: Was Onlineshop-Betreiber jetzt tun müssen
Zwei kritische Lücken in PHP erlauben Angriffe ohne Passwort – betroffen ist jeder Shop auf ungepatchtem PHP. Welche Versionen sicher sind und was du tust, wenn dein Hoster nicht sofort patchen kann.
Inhalt
„E-Commerce kompakt“ ist unser News-Format für Onlinehändler. Heute gibt es nur ein Thema, weil es jeden mit eigenem Onlineshop betrifft: zwei kritische Sicherheitslücken in PHP. Das Video dazu lief am 22. Oktober 2026 auf Instagram, Facebook, LinkedIn und YouTube.
Was passiert ist
Die PHP Group hat am 21. Oktober 2026 Sicherheitsupdates für zwei Schwachstellen veröffentlicht: CVE-2026-109618 und CVE-2026-109619. Beide sind mit 9,2 von 10 Punkten (CVSS v4.0) bewertet und erlauben es Angreifern, ohne Anmeldung Schadcode auf dem Webserver auszuführen. Mindestens eine der Lücken betrifft PHP-Versionen bis zurück zu 5.4. Die Kennungen waren schon vor dem Patch durchgesickert; Sicherheitsfirmen haben die Lücken nachvollzogen und rechnen mit Massenangriffen.
Das Bundesamt für Sicherheit in der Informationstechnik (BSI) stuft die Lage auf Stufe 3 (Orange) ein. Die EU-Stelle CERT-EU empfiehlt schnelle Updates. Laut BSI ist bislang keine große Schadwirkung beobachtet worden, Betroffenheit sei aber „sehr kurzfristig“ möglich.
Betroffen ist jeder Shop, der auf einer ungepatchten PHP-Version läuft – das gilt für JTL-Shop, Shopware, WooCommerce, Magento, OpenCart und eigene Shop-Lösungen gleichermaßen.
Für dich heißt das: Finde heute heraus, welche PHP-Version dein Shop nutzt. Die Angabe findest du meist im Kundenbereich deines Hosters oder im Shop-Backend.
Nur das PHP-Update schützt
Offizielle Fixes gibt es für diese Versionen:
- PHP 8.2.35
- PHP 8.3.36
- PHP 8.4.27
- PHP 8.5.12
Der Fix muss auf dem Server eingespielt werden. Ein Update von Shop-Software oder Plugins schließt die Lücke nicht, und auch ein Wartungsmodus schützt nicht, weil PHP weiterhin ausgeführt wird. Für die nicht mehr unterstützten Versionen PHP 7.4, 8.0 und 8.1 gibt es nur Backports einzelner Hoster und Linux-Distributionen – ohne festen Zeitplan. Sonst bleibt nur ein Upgrade. Die PHP Group nennt im Advisory einige Einstellungen in der php.ini, die das Risiko verringern, betont aber, dass sie eine Installation nicht sicher machen.
Für dich heißt das: Frag deinen Hoster oder deine Agentur noch heute, ob das Update eingespielt ist. Bei Managed Hosting und Shop-Baukästen kümmert sich in der Regel der Anbieter – lass es dir trotzdem bestätigen.
Kein Patch möglich? Dann mit 503 offline
Kann ein System nicht sofort gepatcht werden, rät das BSI im Zweifel zur Abschaltung. Damit dein Shop dabei nicht aus dem Google-Index fällt, empfiehlt Google Search Central, während der Wartung den HTTP-Statuscode 503 („Service Unavailable“) auszuliefern. Pauschale 404-Antworten oder Wartungsseiten mit Status 200 sind die schlechtere Wahl: 404-Seiten fliegen aus dem Index, 200-Wartungsseiten meldet die Search Console als „Soft 404“. Der 503 ist nur eine Übergangslösung für kurze Zeit.
Wurde ein System bereits angegriffen: Logs sichern, Auffälligkeiten dokumentieren und prüfen, ob personenbezogene Daten betroffen sind. Bei einer Verletzung des Schutzes personenbezogener Daten gilt in der Regel eine Meldepflicht an die Datenschutz-Aufsichtsbehörde innerhalb von 72 Stunden.
Für dich heißt das: Lieber ein paar Stunden offline als gehackt.
Quellen: php.net – Security Releases (21.10.2026), OnlinehändlerNews – PHP-Lücke: Ist der eigene Online-Shop in Gefahr? (22.10.2026), OnlinehändlerNews – Das rät Google Shop-Betreibern (22.10.2026), wortfilter.de – PHP-Sicherheitslücke (21.10.2026)
E-Commerce kompakt erscheint regelmäßig als Kurzvideo auf den Seller2Go-Kanälen und hier im Blog.
