PHP-Patch ist verfügbar: So gehen Sie vor und warum die Migration zu Base44 die dauerhafte Lösung ist

Der PHP-Patch für die beiden kritischen Schwachstellen CVE-2026-109618 und CVE-2026-109619 ist veröffentlicht. Wenn Ihre Website auf PHP basiert, müssen Sie den Patch heute noch einspielen und das System neu starten. Doch das beantwortet nicht die entscheidende Frage: Wie stellen Sie sicher, dass Sie beim nächsten Mal nicht wieder unter Zeitdruck agieren müssen? In diesem Artikel erfahren Sie, was veröffentlicht wurde, wie Sie den PHP-Patch sicher anwenden, welche Langzeitstrategie sich bewährt und warum die Migration zu Base44 für viele Unternehmer die dauerhafte Lösung darstellt.

Inhaltsverzeichnis

1. Der PHP-Patch ist da: Was wurde veröffentlicht?
2. Patchen und Neustart: Die einzelnen Schritte
3. Wann reicht Patchen nicht mehr aus?
4. Eine Langzeitstrategie
5. Warum dennoch die Migration zu Base44?
6. Wann eine Migration nicht die beste Wahl ist
7. Wie eine Migration funktioniert
8. Häufig gestellte Fragen
9. Fazit

Der PHP-Patch ist da: Was wurde veröffentlicht?

Am 21. Oktober 2026 hat das PHP-Sicherheitsteam Notfall-Updates für die unterstützten PHP-Versionen veröffentlicht, nachdem bereits einen Tag zuvor eine Ankündigung auf php.net erfolgte. Beide Sicherheitslücken erreichen einen Score von 9,2 von 10 (CVSS v4.0) und ermöglichen nach vorliegenden Analysen eine Remote-Code-Ausführung, ohne dass sich ein Angreifer anmelden muss. Im schlimmsten Fall kann ein Außenstehender die Kontrolle über einen Webserver übernehmen.

Im Klartext: Bei CVE-2026-109618 kann PHP bei Speichermangel unterbrochen werden, während interne Anfragedaten nur teilweise eingerichtet sind, woraufhin ungültige Daten als gültig behandelt werden. Bei CVE-2026-109619 verbleiben interne Daten im Speicher, nachdem dieser freigegeben wurde, sodass eine spätere Anfrage auf demselben Worker diese missbrauchen kann. Dies wird in der Rescana-Analyse beschrieben. Die Details sind technischer Natur; entscheidend ist das Ergebnis.

Dies sind die korrigierten Versionen:

PHP-ZweigBehoben in

PHP 8.5

8.5.12

PHP 8.4

8.4.27

PHP 8.3

8.3.36

PHP 8.2

8.2.35

PHP 8.1 und älter

Kein offizieller Fix

Forscher geben an, dass die betroffenen Releases bis PHP 5.4 zurückreichen. Das bedeutet, dass auch alte, vergessene Websites anfällig sein können.

Was wissen wir über den Missbrauch?

Das Bild ist uneinheitlich. Cloudflare berichtet von Angriffsverkehr, CERT-EU hält einen Missbrauch für wahrscheinlich, da Proof-of-Concepts im Umlauf sind, während das PHP-Team zum Zeitpunkt der Veröffentlichung keine funktionierenden Exploits gefunden hatte und die CISA noch keine Missbrauchsfälle gemeldet hat. Das kann sich schnell ändern. Gehen Sie davon aus, dass das Risiko real ist.

Patching und Neustart: Die einzelnen Schritte

Ein Anwendungs-Update allein reicht nicht aus. Die neue PHP-Version muss installiert und die laufenden Prozesse müssen neu gestartet werden. So gehen Sie vor:

1. Verschaffen Sie sich einen Überblick über alle PHP-Umgebungen. Denken Sie dabei an Live-Websites, Testseiten, Container, Hosting-Panels und alte Projekte.
2. Überprüfen Sie die Version. Führen Sie php -v aus oder fragen Sie Ihren Hoster und vergleichen Sie das Ergebnis mit der obigen Tabelle.
3. Aktualisieren Sie PHP auf 8.5.12, 8.4.27, 8.3.36 oder 8.2.35.
4. Starten Sie alles neu, was PHP ausführt: Apache, PHP-FPM und langlaufende Prozesse wie Queue-Worker.
5. Überprüfen Sie die Version erneut, einschließlich PHP-FPM selbst.
6. Achten Sie auf Anzeichen von Missbrauch. Verdächtige Anzeichen sind ungewöhnlich große PHPSESSID-Cookies, Multipart-Anfragen, gefolgt von Speicherfehlern, unerklärliche Worker-Abstürze und unbekannte PHP-Dateien. Ein sauberes Ergebnis ist kein Beweis dafür, dass Sie nicht angegriffen wurden.

Wird Ihre Website gehostet? Fragen Sie schriftlich nach, welche PHP-Version Ihre Website nutzt und wann sie zuletzt neu gestartet wurde. Beachten Sie, dass PHP-Updates bei einigen Server-Setups nicht in den regulären Sicherheits-Updates enthalten sind. Laravel Forge warnt beispielsweise davor, dass Nutzer PHP dort selbst aktualisieren müssen.

Wann reicht das Patchen nicht aus?

Für PHP 8.1 und ältere Versionen gibt es keinen offiziellen Fix. PHP hat zwar minimale Source-Backports für 7.4, 8.0 und 8.1 veröffentlicht, die für Anwender gedacht sind, die selbst kompilieren, und einige Anbieter bieten ihre eigenen Backports an. Die CISA rät dazu, Systeme, die mit PHP 8.1 oder älter laufen, offline zu nehmen, bis sie gepatcht sind. Sie haben dann drei Optionen: ein Upgrade auf eine unterstützte Version (und überprüfen, ob Ihre Plug-ins noch funktionieren), einen Anbieter mit langfristigem Support hinzuziehen oder die Website vorübergehend offline nehmen.

PHP listet auch vorübergehende Maßnahmen auf, wie die Begrenzung der Upload-Größen und das Deaktivieren von session.upload_progress.enabled. Das PHP-Team selbst weist darauf hin, dass diese eine Installation nicht sicher machen. Betrachten Sie diese als Notbremse, nicht als Lösung.

Behalten Sie auch das nächste Datum im Auge: Laut Rescana endet der Support für PHP 8.2 am 31. Dezember 2026. Eine heute auf 8.2.35 gepatchte Website wird daher in etwa zehn Wochen wieder auf einer nicht unterstützten Version laufen. Patchen verschafft Zeit, löst aber nicht das grundlegende Problem.

Eine langfristige Strategie

Diese PHP-Schwachstelle ist nicht die erste und wird auch nicht die letzte sein. Jeder, der eine PHP-Website betreibt, trägt die Verantwortung für die zugrundeliegenden Server. Ein nachhaltiger Ansatz besteht aus fünf Säulen.

1. Wissen, was man hat

Erstellen Sie einen Überblick über alle Ihre Websites: Wo laufen sie, welche PHP-Version wird genutzt, wer verwaltet sie, welche Plug-ins sind im Einsatz und wann wurden sie zuletzt aktualisiert? Man kann nichts patchen, was einem nicht bekannt ist. Vergessene Test-Sites und alte Kampagnenseiten sind häufig die schwachsten Punkte.

2. Patchen als festen Rhythmus etablieren

Legen Sie fest, wie schnell Sie kritische Updates einspielen – beispielsweise innerhalb von 24 bis 72 Stunden – und wer dafür verantwortlich ist. Verfolgen Sie die Ankündigungen von PHP und Sicherheitsbehörden und integrieren Sie den Neustart von Prozessen in Ihren Prozess.

3. Nur unterstützte Versionen nutzen

Notieren Sie sich frühzeitig das Datum des Support-Endes Ihrer PHP-Version im Kalender. Eine Version ohne Support erhält bei der nächsten Schwachstelle keinen Fix mehr.

4. Schadensbegrenzung für den Ernstfall

Verwenden Sie eine Web Application Firewall (WAF), bewahren Sie Backups extern auf, beschränken Sie die Rechte von Prozessen und Benutzern auf ein Minimum und halten Sie eine Testumgebung bereit. Eine WAF kann einen gewissen Schutz bieten, aber das Patchen bleibt unerlässlich.

5. Für jede Website entscheiden: Update, Modernisierung oder Migration

Nicht jede Website benötigt die gleiche Lösung. Diese Tabelle hilft Ihnen bei der Entscheidung:

Art der WebsiteEmpfehlung

Unternehmens-Website, Blog oder Portfolio auf WordPress

Migration zu Base44 (oder Wix), damit kein Server mehr verwaltet werden muss

Umfangreiche Content-Website mit Redaktionsteam

Migration mit einem sorgfältigen Redirect-Plan, um Ihre Google-Rankings zu erhalten

Webshop mit vielen Integrationen

Fallweise Beurteilung; zuerst Umzug auf eine unterstützte PHP-Version, dann Entscheidung

Individuelle PHP-Anwendung

Modernisierung auf eine unterstützte Version mit professioneller Wartung

Alte Test- oder Kampagnen-Website

Abschalten

Warum letztendlich zu Base44 migrieren?

Das Einspielen von Patches ist ein Hamsterrad: Jede kritische PHP-Sicherheitslücke bedeutet neue Arbeit für jeden mit einer PHP-Site. Der Kern des Problems ist nicht diese eine Schwachstelle, sondern dass Sie als Website-Betreiber für die darunterliegende Ebene verantwortlich sind. Bei Base44 ist diese Ebene Teil der Plattform.

• Keine Server zu warten. Hosting und die zugrunde liegende Software sind Teil der Plattform. Soweit wir wissen, verwendet Base44 kein PHP, daher ist eine Base44-Website von dieser spezifischen Schwachstelle nicht betroffen.
• Weniger Komponenten, die veralten können. Keine einzelnen Plug-ins und Themes, die jeweils einen eigenen Update-Zyklus erfordern.
• Integrierte Sicherheitsfunktionen. Laut der Dokumentation von Base44 können Sie für jeden Datentyp festlegen, wer Daten anzeigen und bearbeiten darf; außerdem werden Schlüssel und Zugangsdaten verschlüsselt gespeichert.
• Schneller Umzug. Eine einfache Business-Website lässt sich technisch oft innerhalb weniger Stunden umziehen. Aufbau und Anpassung erfolgen mit KI unter der Kontrolle eines erfahrenen Teams.
• Ein zentraler Ansprechpartner. Wir kümmern uns um die Migration, die Weiterleitungen und die Wartung, damit Sie sich auf Ihr Geschäft konzentrieren können.

AspektWebsite auf PHPWebsite auf Base44

Server-Updates

Sie oder Ihr Hoster

Die Plattform

Plug-ins und Themes

Selbst im Blick behalten und testen

Keine separaten Plug-ins zu aktualisieren

Reaktion auf eine neue kritische PHP-Schwachstelle

Patchen, neustarten, prüfen

Nicht über PHP betroffen

Support-Ende für eine Version

Sie müssen rechtzeitig ein Upgrade durchführen

Wird von der Plattform übernommen

Laufender Wartungsaufwand

Hoch

Gering

Ein ehrlicher Hinweis vorab: Keine Plattform ist vollkommen risikofrei. Schwache Passwörter, Phishing und zu viele Personen mit Administratorrechten bleiben auch bei Base44 ein Risiko. Sorgen Sie daher stets für starke Passwörter und eine kontrollierte Rechtevergabe.

Wann eine Migration nicht die beste Wahl ist

Eine Migration ist nicht für jede Website der ideale Weg. Wenn Sie eine maßgeschneiderte PHP-Anwendung betreiben, einen Webshop mit zahlreichen Integrationen zu Buchhaltungs- oder Lagersystemen nutzen oder ein Redaktionsteam haben, das stark auf spezifische WordPress-Plug-ins angewiesen ist, ist eine Modernisierung und professionelle Wartung auf einer unterstützten PHP-Version oft die klügere Entscheidung. Lesen Sie dazu auch unsere Erläuterung zu Base44 für Unternehmen und wann man es nicht einsetzen sollte. Fragen Sie bei jedem Wechsel nach, wie Eigentumsverhältnisse und Datenexporte geregelt sind, damit Sie nicht in eine Abhängigkeit von einem einzigen Anbieter geraten.

Wie eine Migration abläuft

1. 30-minütiges Kennenlerngespräch. Wir schauen uns Ihre aktuelle Website an und sagen Ihnen ehrlich, ob eine Migration für Sie sinnvoll ist.
2. Bestandsaufnahme. Wir erfassen Seiten, Texte, Formulare und Integrationen.
3. Neuerstellung auf Basis von Base44, genau angepasst auf die Anforderungen Ihrer Website.
4. Weiterleitungen und Tests. Jede alte Adresse leitet auf die korrekte neue Seite weiter, damit Ihre Auffindbarkeit erhalten bleibt.
5. Livegang ohne Ausfallzeiten für Ihre Website.

Mehr zu unserem Ansatz können Sie in unserem Artikel über Website-Migration im Jahr 2026 lesen. Sehen Sie sich auch unsere Dienstleistungen und Preise an, sowie unsere frühere Erklärung zur PHP-Sicherheitslücke und Wix-Websites.

Häufig gestellte Fragen

Reicht Patchen aus, um sicher zu sein?

Patchen und Neustarten sind das absolute Minimum. Danach müssen Sie auf Anzeichen eines Missbrauchs prüfen, da ein Angreifer möglicherweise bereits Zugriff hatte. Für die längerfristige Sicherheit benötigen Sie außerdem einen festen Patch-Rhythmus und eine unterstützte PHP-Version.

Was sollte ich tun, wenn mein Hoster PHP 8.1 oder älter verwendet?

Für diese Versionen gibt es keinen offiziellen Fix. Fragen Sie Ihren Hoster nach einem Upgrade auf eine unterstützte Version oder nach einem eigenen Backport. Ziehen Sie in Erwägung, die Seite bis dahin offline zu nehmen oder hinter einer Firewall zu schützen.

Woher weiß ich, ob meine Website gehackt wurde?

Achten Sie auf ungewöhnlich große PHPSESSID-Cookies, unbekannte PHP-Dateien, unerklärliche Abstürze und plötzliche Langsamkeit. Ein sauberes Ergebnis ist kein Beweis dafür, dass Sie nicht betroffen sind. Lassen Sie im Zweifelsfall einen Spezialisten darauf schauen.

Betrifft diese Sicherheitslücke auch Base44-Websites?

Soweit wir wissen, verwendet Base44 kein PHP, daher ist eine Base44-Website von dieser spezifischen Schwachstelle nicht betroffen. Das bedeutet jedoch nicht, dass eine Website niemals anfällig sein kann; Zugriffskontrolle und Passwörter bleiben wichtig.

Wie lange dauert eine Migration zu Base44?

Eine einfache Unternehmenswebsite ist technisch oft in wenigen Stunden umgezogen. Größere Seiten und Webshops nehmen mehr Zeit in Anspruch. Nach einem kurzen Einführungsgespräch geben wir Ihnen eine konkrete Einschätzung.

Verliere ich bei einer Migration meine Google-Rankings?

Nicht, wenn die Migration gut durchgeführt wird. Mit einer Übersicht Ihrer aktuellen Adressen und Weiterleitungen bleiben Ihre Rankings weitestgehend erhalten. Das ist immer ein fester Bestandteil unserer Vorgehensweise.

Fazit

Der PHP-Patch ist da, und jeder, der PHP betreibt, muss heute patchen, neu starten und prüfen. Aber der Patch löst nicht das Problem, dass Sie bei jeder nächsten Schwachstelle vor derselben Arbeit stehen. Mit einer guten Bestandsaufnahme, einem festen Patch-Rhythmus und unterstützten Versionen können Sie eine PHP-Seite in Ordnung halten. Wenn Sie diese Arbeit nicht mehr selbst tragen möchten, ist die Migration zu Base44 die dauerhafte Lösung für viele Websites.

Mit mehr als zwanzig Jahren Erfahrung und über 1.500 erfolgreich umgesetzten Webseiten stehen wir Ihnen gerne zur Seite. Buchen Sie ein kostenloses 30-minütiges Kennenlerngespräch und wir verraten Ihnen ehrlich, was für Ihre Webseite am besten funktioniert. Erfahren Sie mehr über uns, stöbern Sie in unseren weiteren Artikeln oder nehmen Sie Kontakt auf.

Quellen

• PHP.net: Archiv der News von 2026
• Rescana: Zwei kritische PHP-Schwachstellen in 8.5.12, 8.4.27, 8.3.36 und 8.2.35 behoben
• Laravel Forge: PHP-Sicherheitshinweis (CVE-2026-109618, CVE-2026-109619)

Aktualisiert am 22. Oktober 2026. Das Bild zur Art des Missbrauchs und den betroffenen Versionen kann sich noch ändern.