Ist Ihre Website für die PHP-Lücke anfällig? So prüfen Sie

Das ist die erste Frage. Einige Faustregeln:

• WordPress, WooCommerce, Joomla, Drupal, PrestaShop, Magento: immer PHP.
• Shopify, Wix, Squarespace, Webflow: kein PHP in Ihrer Verantwortung; die Plattform verwaltet Server.
• Individualsoftware: fragen Sie die Entwickler.

Bei unbekanntem System erkennt der Check häufig Spuren wie eine wp-login.php-Seite.

Sicher sind diese oder höhere Versionen derselben Reihe: 8.2.35, 8.3.36, 8.4.27 oder 8.5.12. Sie enthalten die Korrektur; siehe offizielle PHP-Veröffentlichungen.

Drei Wege zur Versionsnummer:

1. Hostingpanel wie cPanel, Plesk oder DirectAdmin, meist unter „PHP-Version“;
2. WordPress unter Werkzeuge > Website-Zustand > Bericht > Server;
3. Hoster oder Webdienstleister fragen.

„PHP 8.3“ ohne letzte Zahl genügt nicht. 8.3.35 ist verwundbar, 8.3.36 nicht.

Der kostenlose PHP-Check von Marketing Scan ruft die Startseite wie ein Browser ab und liest öffentliche Serverangaben. Vier Ergebnisse sind möglich:

• Veraltet: Version ohne kommende Korrektur. Dringend.
• Nicht aktualisiert: unterstützte Reihe ohne Korrektur. Heute aktualisieren.
• Verborgen: PHP ohne sichtbare Version. Sinnvoll, aber nachfragen.
• Kein PHP erkannt: keine PHP-Spuren. Wahrscheinlich nicht betroffen.

Der Check versucht keinen Angriff und kann nichts beschädigen. Er gibt keine Garantie: Nur Ihr Hoster bestätigt die tatsächliche Serverversion.

Schreiben Sie Hoster oder Webdienstleister:

„Zu CVE-2026-109618 und CVE-2026-109619: Nutzt unsere Website PHP, und welche genaue Version? Wurde auf 8.2.35, 8.3.36, 8.4.27 oder 8.5.12 aktualisiert?“

Ohne klare Antwort innerhalb eines Werktags rufen Sie an. Bei einem CVSS-Wert von 9,2 laut Tenable ist ein Tag bereits lang.

Diese Aussagen schaffen falsche Sicherheit:

• „Meine Website hat HTTPS.“ Das schützt Verbindung, nicht Server.
• „WordPress ist aktuell.“ WordPress und PHP sind getrennt. Aktuelles WordPress auf altem PHP bleibt verwundbar.
• „Ich habe ein Sicherheitsplugin.“ Es läuft selbst auf PHP und schließt keine PHP-Lücke.
• „Es ist nichts passiert.“ Laut VRT NWS erkennt Cloudflare erste Angriffsversuche.

Hinweise sind unbekannte CMS-Administratoren, neue Dateien mit seltsamen Namen, Weiterleitungen oder Search-Console-Warnungen. Bitten Sie neben dem Update um Prüfung zurückgelassener Dateien. Das Update schließt die Tür, entfernt aber keinen bereits eingedrungenen Angreifer.

Sie bleiben verantwortlich für gesammelte Daten. Drei Möglichkeiten von schnell bis gründlich:

1. Aktivieren Sie selbst eine neuere PHP-Reihe im Hostingpanel, falls möglich. Vorher sichern.
2. Schalten Sie eine Firewall davor, etwa Cloudflare. Laut VRT NWS gibt es Regeln gegen diese Lücke. Das gewinnt Zeit, löst sie aber nicht.
3. Aktivieren Sie Wartungsmodus bei sensiblen Daten und fehlender kurzfristiger Aktualisierung.

Tagelanges Schweigen nach einer so großen Lücke ist auch langfristig ein Warnsignal. Vereinbaren Sie im nächsten Vertrag Fristen für kritische Sicherheitsupdates.