PHP-Sicherheitslücke · Oktober 2026

Ist deine PHP-Website betroffen?

Wir prüfen es – und fixen es. CVE-2026-109618 und CVE-2026-109619 wurden am 21. Oktober 2026 veröffentlicht. PHP 8.5.12 schließt sie; die Fixes sind auch in 8.2.35, 8.3.36 und 8.4.27 enthalten. Gib deine Domain ein – das Ergebnis kommt sofort.

PHP-Sicherheitscheck

Deine Domain prüfen

Kostenlos

Beim Klick wird die Startseite deiner Domain einmal abgerufen. Ist die PHP-Version nicht sichtbar, gilt die Domain als sehr wahrscheinlich betroffen. Nur öffentliche Signale, keine Garantie. Prüfe nur Domains, für die du verantwortlich bist.

z. B. deine-firma.at – ohne https:// eingeben.

Öffentliche Signale, keine 100-%-Garantie. Der Check ruft nur die eingegebene Startseite auf.

Was wir prüfen

Was passiert gerade?

Ein Sicherheitsupdate – und viele Fragen.

Am 21.10.2026 wurden GHSA-w8hw-w9fx-j79w (CVE-2026-109618, RCE via OOM corruption) und GHSA-6wmf-4rv5-p3rp (CVE-2026-109619, RCE via stale global state) veröffentlicht. PHP 8.5.12 (22.10.2026) schließt beide Lücken. Die Fixes sind auch in PHP 8.2.35, 8.3.36 und 8.4.27 enthalten.

Betroffen sind Versionen vor 8.2.35, 8.3.36, 8.4.27 bzw. 8.5.12. Ob deine Website tatsächlich angreifbar ist, hängt zusätzlich von Konfiguration, Erweiterungen und Anwendung ab. Ein Update ist nicht automatisch gleich Sicherheit – aber ein veralteter Patchstand ist ein vermeidbares Risiko.

PHP-ZweigBetroffenGepatcht
PHP 8.5< 8.5.128.5.12
PHP 8.4< 8.4.278.4.27
PHP 8.3< 8.3.368.3.36
PHP 8.2< 8.2.358.2.35

Risiko einordnen

Wer kann betroffen sein?

Nicht jede Website ist gleich betroffen. Diese Konstellationen sind typische Risikofaktoren.

Veraltete PHP-Version

Die Website läuft auf einer PHP-Version, die keine Sicherheitsupdates mehr erhält oder seit Monaten nicht aktualisiert wurde.

Ungepatchtes CMS

WordPress, TYPO3, Shopware, Laravel oder ein eigenes Framework mit veralteten Plugins, Themes oder Abhängigkeiten.

Eigene PHP-Anwendungen

Formulare, Uploads, Logins, Admin-Bereiche oder Schnittstellen, die selbst geschrieben oder lange nicht geprüft wurden.

Server & Konfiguration

PHP-FPM, Dateirechte, exponierte Backups, Fehlerausgabe oder ein Admin-Zugang, der öffentlich erreichbar ist.

Sicherheitscheck

Was wir prüfen.

Kein pauschales „alles ist gefährlich“, sondern die Stellen, die für deine Website relevant sind.

PHP-Version & Patchstand

Welche PHP-Version läuft, welche Sicherheitsupdates fehlen, welche Erweiterungen sind aktiv?

CMS, Framework & Plugins

WordPress, TYPO3, Shopware, Laravel oder eigene Anwendung: Versionsstand, Plugins, Themes und Abhängigkeiten.

Exponierte Dateien & Zugänge

Admin-Logins, Uploads, Konfigurationsdateien, Verzeichnislisten und öffentlich erreichbare Backups.

Formulare, Uploads & Sessions

Eingabeprüfung, Dateiuploads, Session-Handling und typische Injektionspfade.

Server- & FPM-Konfiguration

PHP-FPM, Berechtigungen, Fehlerausgabe, Logs und Trennung von Anwendung und System.

Backup, Logs & Monitoring

Sind Backups vorhanden und prüfbar? Werden Fehler und ungewöhnliche Zugriffe sichtbar?

Sofortmaßnahmen

Was du jetzt schon tun kannst.

Diese vier Schritte reduzieren das Risiko, ohne dass du dich technisch auskennen musst.

  1. 01PHP-Version und CMS-Version prüfen – nicht raten.
  2. 02Backup anlegen und prüfen, ob es sich wiederherstellen lässt.
  3. 03Admin-Zugänge, Dateirechte und öffentliche Backups kontrollieren.
  4. 04Ungewöhnliche Logins, Dateien und Lastspitzen in den Logs suchen.

Ablauf

Vom Verdacht zur klaren Priorität.

Wir starten mit einer ehrlichen Einschätzung – nicht mit einem großen Projekt.

01

Erstcheck

30 Minuten: PHP-Version, Hosting, CMS, Symptome und Dringlichkeit. Du bekommst eine erste Einschätzung.

02

Analyse

Wir prüfen die relevanten Stellen und priorisieren: akut, wichtig, später. Keine unverständliche Checkliste.

03

Fix & Härtung

Update, Patch, Konfiguration, Backup und die Maßnahmen, die tatsächlich zum System passen.

04

Übergabe

Dokumentation, offene Punkte und Empfehlung für Monitoring oder laufende Betreuung.

Pakete

Was der Check kostet.

Richtwerte netto exkl. USt. Der konkrete Preis folgt nach der ersten Prüfung.

01 / Check

PHP-Sicherheitscheck

ab 490 €

Für eine erste, belastbare Einschätzung von Version, CMS, Konfiguration und exponierten Zugängen.

  • PHP-Version & Patchstand
  • CMS, Plugins & Framework
  • Exponierte Dateien & Zugänge
  • Priorisierter Maßnahmenplan
Check anfragen
02 / Notfall

Notfall-Fix

ab 890 €

Für konkrete Hinweise auf eine Kompromittierung oder eine akut ausnutzbare Lücke.

  • Sofortmaßnahmen & Eindämmung
  • Update / Patch
  • Backup & Wiederherstellung
  • Härtung & Dokumentation
Notfall anfragen
03 / Laufend

Sicherheits-Monitoring

ab 99 €/Monat

Damit du die nächste Lücke nicht erst nachträglich erfährst.

  • PHP-, CMS- & Plugin-Versionen
  • Security-Advisories & Patch-Hinweise
  • Uptime-, SSL- & Domain-Checks
  • Monatlicher Sicherheitsreport
Monitoring anfragen

Alle Preise sind unverbindliche Richtwerte netto exkl. USt. Der konkrete Preis entsteht nach Prüfung von Umfang, Systemen und Dringlichkeit. Eine 100-%-Sicherheitsgarantie gibt es nicht.

Warum KUP

Ehrliche Einschätzung statt Panik.

Wir arbeiten an Websites, Schnittstellen und individuellen Systemen. Wir kennen die Stellen, an denen PHP, CMS und Server zusammenstoßen.

Direkte AnsprechpartnerJonas und Kevin, keine anonyme Hotline.
Klare GrenzenKeine 100-%-Garantie, keine gerichtsfeste Forensik, keine Rechtsberatung.
Code & Zugänge bleiben bei dirDokumentierte Übergabe, keine künstliche Abhängigkeit.
Prioritäten statt ChecklisteDu erfährst, was akut ist, was warten kann und was offen bleibt.

Häufige Fragen

PHP-Sicherheit, konkret beantwortet.

Wie funktioniert der Domain-Check?

Wir rufen die Startseite deiner Domain auf und prüfen öffentlich sichtbare Signale: X-Powered-By, Server-Header, PHP-Session-Cookies und HTML-Hinweise. Wenn die PHP-Version sichtbar ist, vergleichen wir sie mit den gepatchten Versionen. Ist sie nicht sichtbar, stufen wir die Domain als sehr wahrscheinlich betroffen ein – außer die Seite ist klar als Next.js/Node erkennbar. Dann gibt es keinen PHP-Kauf-CTA.

Bin ich automatisch betroffen?

Der Domain-Check stuft eine Domain als sehr wahrscheinlich betroffen ein, wenn die PHP-Version nicht sichtbar ist. Das ist eine konservative Risikoeinschätzung, keine technische Wahrheit. Ob die Lücke tatsächlich ausnutzbar ist, hängt von Version, Konfiguration, Erweiterungen und Anwendung ab.

Reicht ein PHP-Update?

Nicht immer. Ein Update schließt bekannte Lücken in PHP, aber ein veraltetes CMS, unsichere Plugins, falsche Dateirechte oder exponierte Admin-Zugänge bleiben bestehen. Deshalb prüfen wir Version, Anwendung und Konfiguration zusammen.

Wie schnell könnt ihr reagieren?

Anfragen werden in der Regel innerhalb von 24 Stunden an Werktagen geprüft. Bei einem akuten Vorfall versuchen wir, noch am selben Werktag eine erste Einschätzung zu geben. Eine garantierte Notfallzeit ist ohne Vorabvereinbarung nicht zugesichert.

Gibt es ein Monitoring-Paket?

Ja: Sicherheits-Monitoring ab 99 € netto exkl. USt. pro Monat. Enthalten sind PHP-, CMS- und Plugin-Versionen, Security-Advisories, Uptime-, SSL- und Domain-Checks, ein monatlicher Sicherheitsreport und priorisierte Handlungsempfehlungen. Reaktion an Werktagen, kein 24/7-Notfallservice.

Was passiert, wenn nichts gefunden wird?

Dann bekommst du keine falsche Entwarnung, sondern eine Einordnung: Bei einer sichtbaren, gepatchten Version oder einer klaren Next.js-Seite zeigen wir das an. In beiden Fällen empfehlen wir das Sicherheits-Monitoring, damit du die nächste Lücke nicht erst nachträglich erfährst.

Was kostet der PHP-Sicherheitscheck?

Der Richtwert liegt bei 490 € netto exkl. USt. für einen abgegrenzten Check. Ein Notfall-Fix startet bei 890 € netto exkl. USt. Der konkrete Preis hängt von Umfang, Systemen und Dringlichkeit ab.

Muss ich die Website offline nehmen?

Nicht pauschal. Wenn Hinweise auf eine aktive Kompromittierung bestehen, kann eine temporäre Abschaltung oder ein Wartungsmodus sinnvoll sein. Wir bewerten zuerst, ob Daten, Kunden oder Zahlungen akut gefährdet sind.

Was ist mit WordPress, TYPO3, Shopware oder Laravel?

Alle diese Systeme laufen auf PHP. Neben der PHP-Version zählen CMS-/Framework-Version, Plugins, Themes, Dateirechte und Admin-Zugänge. Wir prüfen die relevanten Stellen und priorisieren nach Risiko.

Garantiert ihr 100 % Sicherheit?

Nein. Niemand kann das seriös garantieren. Wir reduzieren bekannte Risiken, priorisieren nach Ausnutzbarkeit und dokumentieren, was geprüft wurde und was offen bleibt. Eine gerichtsfeste Forensik ist nicht Teil des Checks.

Was, wenn die Website schon gehackt wurde?

Dann geht es zuerst um Eindämmung: Zugänge sperren, Backups prüfen, Infektionen identifizieren, Systeme wiederherstellen. Wir sagen offen, was wir selbst leisten können und wann eine spezialisierte Forensik oder Rechtsberatung nötig ist.

Übernimmt KUP laufende Updates?

Ja, im Rahmen der Betreuung ab 149 € netto exkl. USt. pro Monat. Enthalten sind Koordination, Updates, Monitoring und ein monatlicher Review – abhängig vom vereinbarten Umfang.

Arbeitet ihr remote?

Ja. Die Zusammenarbeit läuft remote über Video, E-Mail und sichere Zugänge. Vor-Ort-Termine sind nach Absprache im Raum Graz möglich.

PHP-Sicherheitscheck anfragen

Beschreib kurz, was du weißt.

Du brauchst keine technische Analyse. Website-Adresse, PHP-Version (falls bekannt) und was du beobachtet hast, reichen für den ersten Schritt.

Schritt 1 von 4

Wie dürfen wir dich ansprechen?

Quellen

Offizielle Informationen.

Diese Seite fasst öffentliche Informationen zusammen und ersetzt keine individuelle Sicherheitsprüfung. Ob eine konkrete Installation betroffen ist, lässt sich erst nach Prüfung von Version, Konfiguration und Anwendung sagen.

Nächster Schritt

Lieber heute prüfen als morgen reagieren.

Erzähl uns, welche PHP-Version, welches CMS und welche Auffälligkeiten du hast. Wir sagen dir, ob ein Check reicht oder ob es akut ist.

PHP-Sicherheitscheck anfragen