SiteGround schützt Kunden frühzeitig vor der  Veröffentlichung eines kritischen PHP-Sicherheitsupdates

PHP hat zwei kritische Sicherheitslücken angekündigt: CVE-2026-109618 und CVE-2026-109619. Beide wurden auf der CVSS-v4.0-Skala mit 9,2 bewertet. PHP hat beide mit den Versionen 8.5.12, 8.4.27, 8.3.36 und 8.2.35 behoben, die am 21. Oktober 2026 veröffentlicht wurden. Laut W3Techs kommt PHP auf 69,3 % aller Websites zum Einsatz, deren serverseitige Programmiersprache bekannt ist. Dazu gehören auch WordPress-Websites. Eine Sicherheitslücke in der Programmiersprache selbst hat daher eine wesentlich größere Reichweite als ein Fehler in einem einzelnen Plugin oder Theme.

Wenn Ihre Website bei SiteGround gehostet wird, sind Sie bereits geschützt. Unser Sicherheitsteam hat auf allen unseren Servern Schutzmaßnahmen implementiert, noch bevor das offizielle Update veröffentlicht wurde. Die offiziellen PHP-Fehlerbehebungen haben wir noch am selben Tag umgesetzt. Sie müssen nichts weiter unternehmen.

Die wichtigsten Informationen auf einen Blick

• Was ist passiert? PHP hat zwei kritische Sicherheitslücken in der Programmiersprache selbst bekannt gegeben: CVE-2026-109618 und CVE-2026-109619.
• Korrigierte Versionen: PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35, veröffentlicht am 21. Oktober 2026.
• SiteGround-Kunden: Bereits vor der Veröffentlichung geschützt, die offiziellen Fehlerbehebungen wurden nun implementiert. Es sind weder Updates noch Einstellungsänderungen oder ein Wechsel der PHP-Version erforderlich.
• Websites bei anderen Hosting-Anbietern: Aktualisieren Sie PHP jetzt auf eine korrigierte Version.

Was SiteGround bereits unternommen hat

Nach der Vorabinformation von PHP hat unser Sicherheitsteam die verfügbaren Informationen ausgewertet und Schutzregeln auf Serverebene auf allen SiteGround-Servern ausgerollt. Wir haben die betroffenen Funktionen in allen unterstützten PHP-Versionen deaktiviert. Sobald PHP am 21. Oktober die Fehlerbehebungen veröffentlicht hatte, haben wir diese auf allen SiteGround-Servern angewendet.

Sie müssen nichts aktualisieren und Ihre PHP-Version nicht ändern. Als verwaltete Plattform setzen wir diese Maßnahmen direkt auf Serverebene um. Dadurch wird Ihre Website automatisch geschützt.

Warum frühzeitiges Handeln entscheidend ist

Das größte Risiko bei einer kritischen Sicherheitslücke besteht unmittelbar nach der Veröffentlichung der Details. In dieser Phase beginnen Angreifer häufig damit, nach Servern zu suchen, auf denen die erforderlichen Updates noch nicht installiert wurden. Da wir bereits vor der offiziellen Veröffentlichung gehandelt haben, sind unsere Server geschützt, sobald dieses Zeitfenster beginnt. Wir werden die Veröffentlichung weiterhin genau beobachten und bei Bedarf zusätzliche Maßnahmen ergreifen, um Ihre Websites zu schützen.

Was wir über CVE-2026-109618 und CVE-2026-109619 wissen

PHP hat das Sicherheitsupdate am 20. Oktober 2026 in einer Vorankündigung auf php.net angekündigt. Darin hat PHP Folgendes bestätigt:

• Zwei Sicherheitslücken, die beide als kritisch eingestuft und auf der CVSS-v4.0-Skala mit 9,2 bewertet wurden.
• Ein für den 21. Oktober 2026 um 14:00 UTC geplantes Sicherheitsupdate.
• Die vollständigen technischen Details sowie die betroffenen und korrigierten Versionen werden zusammen mit dem Update veröffentlicht

Inzwischen hat PHP alle Details in seinem Sicherheitshinweis veröffentlicht. Beide Sicherheitslücken könnten die Ausführung von Code aus der Ferne ohne Authentifizierung ermöglichen und wurden in den Versionen PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35 behoben.

Wenn Sie PHP außerhalb von SiteGround verwenden

Wenn Sie PHP bei einem anderen Hosting-Anbieter, auf Ihrem eigenen Server oder in einer lokalen Entwicklungsumgebung verwenden, folgen Sie den Empfehlungen von PHP und führen Sie ein Upgrade durch, sobald korrigierte Versionen verfügbar sind. Besuchen Sie php.net, um die offizielle Sicherheitsmitteilung und die Liste der Versionen mit den entsprechenden Fehlerbehebungen einzusehen.

Proaktive Sicherheit durch konzeptionelle Gestaltung

Wir konnten bereits vor der offiziellen Veröffentlichung reagieren, weil unsere Plattform auf folgenden Prinzipien basiert:

• Ein internes Sicherheitsteam. Unsere Sicherheitsspezialisten überwachen Sicherheitsmeldungen rund um die Uhr und bewerten neue Bedrohungen, sobald Informationen verfügbar werden.
• Ingenieure rund um die Uhr in Bereitschaft. Wir setzen Schutzmaßnahmen um, sobald sie einsatzbereit sind – und warten nicht erst auf den nächsten Werktag.
• Eine vollständig verwaltete Serverumgebung. Wir betreiben und warten unsere Hosting-Infrastruktur selbst. Dadurch können wir Schutzmaßnahmen gleichzeitig auf allen Server implementieren können, anstatt darauf zu warten, dass jeder Website-Besitzer selbst aktiv wird.

Diesen Ansatz haben wir bereits bei früheren Sicherheitsvorfällen in diesem Jahr verfolgt: Wir haben fünf Sicherheitslücken im Linux-Kernel innerhalb von 48 Stunden ohne Ausfallzeit behoben und UpdraftPlus auf allen betroffenen WordPress-Websites innerhalb von weniger als einer Stunde aktualisiert.

Schutz, der keine Verzögerung kennt

Der größte Teil unserer Sicherheitsarbeit schafft es gar nicht erst in unseren Blog. Wir überwachen, aktualisieren und härten unsere Server täglich – unabhängig davon, ob eine Sicherheitslücke gerade in den Schlagzeilen steht. Wir berichten über dieses Update, weil PHP die technische Grundlage so vieler Websites bildet. Unsere Reaktion folgt jedoch unserem bewährten Vorgehen: Risiken frühzeitig erkennen, direkt auf unseren Servern handeln und Ihre Website schützen, ohne Ihre Aufgabenliste zu verlängern.

Wenn Sie Ihr Hosting bei uns haben, kümmern wir uns um diese Aufgaben, damit Sie es nicht tun müssen. Unser Support-Team steht Ihnen rund um die Uhr zur Verfügung, falls Sie Fragen haben.

Häufig gestellte Fragen