Veraltete PHP-Version
Die Website läuft auf einer PHP-Version, die keine Sicherheitsupdates mehr erhält oder seit Monaten nicht aktualisiert wurde.
Anfrage startenPHP-Sicherheitslücke · Oktober 2026
Wir prüfen es – und fixen es. CVE-2026-109618 und CVE-2026-109619 wurden am 21. Oktober 2026 veröffentlicht. PHP 8.5.12 schließt sie; die Fixes sind auch in 8.2.35, 8.3.36 und 8.4.27 enthalten. Gib deine Domain ein – das Ergebnis kommt sofort.
Öffentliche Signale, keine 100-%-Garantie. Der Check ruft nur die eingegebene Startseite auf.
Was wir prüfenWas passiert gerade?
Am 21.10.2026 wurden GHSA-w8hw-w9fx-j79w (CVE-2026-109618, RCE via OOM corruption) und GHSA-6wmf-4rv5-p3rp (CVE-2026-109619, RCE via stale global state) veröffentlicht. PHP 8.5.12 (22.10.2026) schließt beide Lücken. Die Fixes sind auch in PHP 8.2.35, 8.3.36 und 8.4.27 enthalten.
Betroffen sind Versionen vor 8.2.35, 8.3.36, 8.4.27 bzw. 8.5.12. Ob deine Website tatsächlich angreifbar ist, hängt zusätzlich von Konfiguration, Erweiterungen und Anwendung ab. Ein Update ist nicht automatisch gleich Sicherheit – aber ein veralteter Patchstand ist ein vermeidbares Risiko.
| PHP-Zweig | Betroffen | Gepatcht |
|---|---|---|
| PHP 8.5 | < 8.5.12 | 8.5.12 |
| PHP 8.4 | < 8.4.27 | 8.4.27 |
| PHP 8.3 | < 8.3.36 | 8.3.36 |
| PHP 8.2 | < 8.2.35 | 8.2.35 |
Risiko einordnen
Nicht jede Website ist gleich betroffen. Diese Konstellationen sind typische Risikofaktoren.
Die Website läuft auf einer PHP-Version, die keine Sicherheitsupdates mehr erhält oder seit Monaten nicht aktualisiert wurde.
WordPress, TYPO3, Shopware, Laravel oder ein eigenes Framework mit veralteten Plugins, Themes oder Abhängigkeiten.
Formulare, Uploads, Logins, Admin-Bereiche oder Schnittstellen, die selbst geschrieben oder lange nicht geprüft wurden.
PHP-FPM, Dateirechte, exponierte Backups, Fehlerausgabe oder ein Admin-Zugang, der öffentlich erreichbar ist.
Sicherheitscheck
Kein pauschales „alles ist gefährlich“, sondern die Stellen, die für deine Website relevant sind.
Welche PHP-Version läuft, welche Sicherheitsupdates fehlen, welche Erweiterungen sind aktiv?
WordPress, TYPO3, Shopware, Laravel oder eigene Anwendung: Versionsstand, Plugins, Themes und Abhängigkeiten.
Admin-Logins, Uploads, Konfigurationsdateien, Verzeichnislisten und öffentlich erreichbare Backups.
Eingabeprüfung, Dateiuploads, Session-Handling und typische Injektionspfade.
PHP-FPM, Berechtigungen, Fehlerausgabe, Logs und Trennung von Anwendung und System.
Sind Backups vorhanden und prüfbar? Werden Fehler und ungewöhnliche Zugriffe sichtbar?
Sofortmaßnahmen
Diese vier Schritte reduzieren das Risiko, ohne dass du dich technisch auskennen musst.
Ablauf
Wir starten mit einer ehrlichen Einschätzung – nicht mit einem großen Projekt.
30 Minuten: PHP-Version, Hosting, CMS, Symptome und Dringlichkeit. Du bekommst eine erste Einschätzung.
Wir prüfen die relevanten Stellen und priorisieren: akut, wichtig, später. Keine unverständliche Checkliste.
Update, Patch, Konfiguration, Backup und die Maßnahmen, die tatsächlich zum System passen.
Dokumentation, offene Punkte und Empfehlung für Monitoring oder laufende Betreuung.
Pakete
Richtwerte netto exkl. USt. Der konkrete Preis folgt nach der ersten Prüfung.
Für eine erste, belastbare Einschätzung von Version, CMS, Konfiguration und exponierten Zugängen.
Für konkrete Hinweise auf eine Kompromittierung oder eine akut ausnutzbare Lücke.
Damit du die nächste Lücke nicht erst nachträglich erfährst.
Alle Preise sind unverbindliche Richtwerte netto exkl. USt. Der konkrete Preis entsteht nach Prüfung von Umfang, Systemen und Dringlichkeit. Eine 100-%-Sicherheitsgarantie gibt es nicht.
Warum KUP
Wir arbeiten an Websites, Schnittstellen und individuellen Systemen. Wir kennen die Stellen, an denen PHP, CMS und Server zusammenstoßen.
Häufige Fragen
Wir rufen die Startseite deiner Domain auf und prüfen öffentlich sichtbare Signale: X-Powered-By, Server-Header, PHP-Session-Cookies und HTML-Hinweise. Wenn die PHP-Version sichtbar ist, vergleichen wir sie mit den gepatchten Versionen. Ist sie nicht sichtbar, stufen wir die Domain als sehr wahrscheinlich betroffen ein – außer die Seite ist klar als Next.js/Node erkennbar. Dann gibt es keinen PHP-Kauf-CTA.
Der Domain-Check stuft eine Domain als sehr wahrscheinlich betroffen ein, wenn die PHP-Version nicht sichtbar ist. Das ist eine konservative Risikoeinschätzung, keine technische Wahrheit. Ob die Lücke tatsächlich ausnutzbar ist, hängt von Version, Konfiguration, Erweiterungen und Anwendung ab.
Nicht immer. Ein Update schließt bekannte Lücken in PHP, aber ein veraltetes CMS, unsichere Plugins, falsche Dateirechte oder exponierte Admin-Zugänge bleiben bestehen. Deshalb prüfen wir Version, Anwendung und Konfiguration zusammen.
Anfragen werden in der Regel innerhalb von 24 Stunden an Werktagen geprüft. Bei einem akuten Vorfall versuchen wir, noch am selben Werktag eine erste Einschätzung zu geben. Eine garantierte Notfallzeit ist ohne Vorabvereinbarung nicht zugesichert.
Ja: Sicherheits-Monitoring ab 99 € netto exkl. USt. pro Monat. Enthalten sind PHP-, CMS- und Plugin-Versionen, Security-Advisories, Uptime-, SSL- und Domain-Checks, ein monatlicher Sicherheitsreport und priorisierte Handlungsempfehlungen. Reaktion an Werktagen, kein 24/7-Notfallservice.
Dann bekommst du keine falsche Entwarnung, sondern eine Einordnung: Bei einer sichtbaren, gepatchten Version oder einer klaren Next.js-Seite zeigen wir das an. In beiden Fällen empfehlen wir das Sicherheits-Monitoring, damit du die nächste Lücke nicht erst nachträglich erfährst.
Der Richtwert liegt bei 490 € netto exkl. USt. für einen abgegrenzten Check. Ein Notfall-Fix startet bei 890 € netto exkl. USt. Der konkrete Preis hängt von Umfang, Systemen und Dringlichkeit ab.
Nicht pauschal. Wenn Hinweise auf eine aktive Kompromittierung bestehen, kann eine temporäre Abschaltung oder ein Wartungsmodus sinnvoll sein. Wir bewerten zuerst, ob Daten, Kunden oder Zahlungen akut gefährdet sind.
Alle diese Systeme laufen auf PHP. Neben der PHP-Version zählen CMS-/Framework-Version, Plugins, Themes, Dateirechte und Admin-Zugänge. Wir prüfen die relevanten Stellen und priorisieren nach Risiko.
Nein. Niemand kann das seriös garantieren. Wir reduzieren bekannte Risiken, priorisieren nach Ausnutzbarkeit und dokumentieren, was geprüft wurde und was offen bleibt. Eine gerichtsfeste Forensik ist nicht Teil des Checks.
Dann geht es zuerst um Eindämmung: Zugänge sperren, Backups prüfen, Infektionen identifizieren, Systeme wiederherstellen. Wir sagen offen, was wir selbst leisten können und wann eine spezialisierte Forensik oder Rechtsberatung nötig ist.
Ja, im Rahmen der Betreuung ab 149 € netto exkl. USt. pro Monat. Enthalten sind Koordination, Updates, Monitoring und ein monatlicher Review – abhängig vom vereinbarten Umfang.
Ja. Die Zusammenarbeit läuft remote über Video, E-Mail und sichere Zugänge. Vor-Ort-Termine sind nach Absprache im Raum Graz möglich.
PHP-Sicherheitscheck anfragen
Du brauchst keine technische Analyse. Website-Adresse, PHP-Version (falls bekannt) und was du beobachtet hast, reichen für den ersten Schritt.
Quellen
Diese Seite fasst öffentliche Informationen zusammen und ersetzt keine individuelle Sicherheitsprüfung. Ob eine konkrete Installation betroffen ist, lässt sich erst nach Prüfung von Version, Konfiguration und Anwendung sagen.
Nächster Schritt
Erzähl uns, welche PHP-Version, welches CMS und welche Auffälligkeiten du hast. Wir sagen dir, ob ein Check reicht oder ob es akut ist.
PHP-Sicherheitscheck anfragen