Kritische PHP-Sicherheitslücken im Oktober 2026: So schützt CURIAWEB deine Website
21. Oktober 2026 | Sicherheit & Webhosting
Am 21. Oktober 2026 wurden zwei kritische Sicherheitslücken in der Programmiersprache PHP bekannt, die zahlreiche Websites und Webanwendungen weltweit betreffen. Die Schwachstellen ermöglichen unter bestimmten Voraussetzungen schwerwiegende Angriffe auf Webserver.
Auch beliebte Systeme wie WordPress, WooCommerce und WHMCS basieren auf PHP und können deshalb betroffen sein.
Bei CURIAWEB nehmen wir solche Sicherheitsmeldungen ernst. Unsere Hostingserver verfügen bereits über zusätzliche Schutzmechanismen, darunter Imunify360 mit einer aktuellen Web Application Firewall (WAF). Gleichzeitig bereiten wir die Installation der endgültigen PHP-Sicherheitsupdates vor.
Was ist passiert?
Das PHP-Sicherheitsteam hat zwei kritische Schwachstellen veröffentlicht, die unter folgenden Kennungen geführt werden:
- CVE-2026-109618: Eine Schwachstelle bei der Speicherverwaltung während der Verarbeitung speziell präparierter HTTP-Anfragen.
- CVE-2026-109619: Ein Fehler bei der Verwaltung interner Daten, durch den bereits freigegebene Speicherbereiche unter bestimmten Umständen erneut verwendet werden können.
Beide Schwachstellen wurden mit einem CVSS-Schweregrad von 9,2 von 10 Punkten bewertet und gelten damit als kritisch.
Unter bestimmten Bedingungen können Angreifer diese Sicherheitslücken ausnutzen, um ohne vorherige Anmeldung Schadcode auf einem betroffenen System auszuführen.
Die Schwachstellen befinden sich direkt in PHP und nicht in WordPress, WooCommerce oder anderen Anwendungen.
Welche PHP-Versionen sind betroffen?
Die Sicherheitslücken betreffen zahlreiche PHP-Versionen, darunter auch ältere Versionen, die noch auf vielen Webservern eingesetzt werden.
Das PHP-Projekt hat am 21. Oktober 2026 folgende korrigierte Versionen veröffentlicht:
| PHP-Version | Sicherheitsupdate |
|---|---|
| PHP 8.2 | 8.2.35 |
| PHP 8.3 | 8.3.36 |
| PHP 8.4 | 8.4.27 |
| PHP 8.5 | 8.5.12 |
Für ältere PHP-Versionen, die vom offiziellen PHP-Projekt nicht mehr unterstützt werden, können spezialisierte Anbieter wie CloudLinux zusätzliche Sicherheitskorrekturen bereitstellen.
Entscheidend ist deshalb nicht nur die angezeigte PHP-Versionsnummer, sondern auch, ob der jeweilige Anbieter die erforderlichen Sicherheitskorrekturen integriert hat.
Wie schützt CURIAWEB seine Hostingkunden?
Unsere Hostinginfrastruktur setzt auf mehrere aufeinander abgestimmte Sicherheitsmechanismen. Dazu gehören insbesondere CloudLinux, Imunify360 und eine Web Application Firewall.
Imunify360 mit aktuellen Sicherheitsregeln
Imunify360 überwacht und schützt unsere Hostingumgebung vor verschiedenen Angriffsmustern.
Besonders wichtig im Zusammenhang mit den aktuellen PHP-Sicherheitslücken ist die integrierte Web Application Firewall (WAF).
CloudLinux hat bereits mit dem Imunify360-Regelwerk 8.83 zusätzliche Schutzregeln veröffentlicht, die das öffentlich bekannte Angriffsmuster gegen diese Schwachstellen blockieren sollen.
Auf unserem CURIAWEB-Server ist bereits das neuere Regelwerk 8.84 installiert.
Diese Schutzregeln können entsprechende Angriffsversuche erkennen und blockieren, bevor sie die betroffene PHP-Anwendung erreichen.
Dabei handelt es sich um eine zusätzliche Sicherheitsmassnahme, die das Risiko reduziert. Sie ersetzt jedoch nicht die endgültigen PHP-Sicherheitsupdates.
CloudLinux als zusätzliche Sicherheitsebene
Unsere Hostingserver verwenden CloudLinux, eine speziell für Webhosting entwickelte Serverumgebung.
CloudLinux ermöglicht unter anderem die Isolation einzelner Hostingkonten und die kontrollierte Zuweisung von Serverressourcen.
Dadurch lassen sich Auswirkungen bestimmter Fehler oder Angriffe auf andere Hostingkonten begrenzen.
Auch diese Schutzmechanismen sind kein vollständiger Ersatz für Sicherheitsupdates, ergänzen jedoch unser mehrstufiges Sicherheitskonzept.
Laufende Sicherheitsüberwachung
Neben den automatisierten Schutzmechanismen überwachen wir die Sicherheitslage und verfolgen die Veröffentlichungen der zuständigen Softwarehersteller.
Bei kritischen Sicherheitsmeldungen prüfen wir, welche Komponenten unserer Hostinginfrastruktur betroffen sein könnten und welche Massnahmen erforderlich sind.
Wann werden die endgültigen Sicherheitsupdates installiert?
Die korrigierten PHP-Versionen wurden am 21. Oktober 2026 vom PHP-Projekt veröffentlicht.
Die Anbieter cPanel und CloudLinux arbeiten daran, diese Korrekturen in ihren jeweiligen PHP-Paketen bereitzustellen.
CURIAWEB wird die entsprechenden Sicherheitsupdates installieren, sobald die korrigierten Pakete für unsere Serverumgebung verfügbar sind.
Bis dahin setzen wir auf die bereits vorhandenen Sicherheitsmechanismen und die aktuellen Schutzregeln von Imunify360.
Wir verfolgen die Entwicklung laufend und werden diesen Beitrag aktualisieren, sobald die Sicherheitsupdates auf unseren Servern installiert wurden.
Müssen CURIAWEB-Kunden etwas unternehmen?
Wenn deine Website bei CURIAWEB gehostet wird, musst du für die Installation der serverseitigen PHP-Sicherheitsupdates nichts selbst unternehmen. Diese Arbeiten übernehmen wir.
Unabhängig davon empfehlen wir, WordPress, Plugins, Themes und andere eingesetzte Anwendungen regelmässig zu aktualisieren.
Denn auch wenn die aktuellen Sicherheitslücken direkt PHP betreffen, bleibt eine gepflegte und aktuelle Website ein wichtiger Bestandteil der allgemeinen Sicherheit.
Sicherheit hat bei CURIAWEB Priorität
Absolute Sicherheit kann kein Hostinganbieter garantieren. Entscheidend ist, wie schnell auf neue Bedrohungen reagiert wird und welche Schutzmassnahmen bereits vorhanden sind.
Mit CloudLinux, Imunify360, aktuellen Firewall-Regeln und einer laufenden Sicherheitsüberwachung verfügt CURIAWEB über mehrere Schutzebenen.
Unser Ziel ist es, Risiken frühzeitig zu erkennen, bekannte Angriffsmuster abzuwehren und notwendige Sicherheitsupdates schnellstmöglich einzuspielen.
Wir kümmern uns um die Sicherheit unserer Hostinginfrastruktur, damit du dich auf deine Website und dein Geschäft konzentrieren kannst.
