News · Oktober 2026
Kurz gesagt: Du musst nichts tun. Ende September 2026 hat das PHP-Team Sicherheitsupdates für alle unterstützten PHP-Versionen veröffentlicht. Wir haben die PHP-Versionen auf unseren Servern auf die gepatchten Releases aktualisiert. Deine Website, dein Webshop und deine E-Mails laufen damit auf sicherer Software. In diesem Artikel liest du, um welche Lücken es geht, was wir getan haben und was du selbst noch prüfen kannst.
Was ist passiert?
PHP ist die Programmiersprache, auf der unter anderem WordPress, WooCommerce und die meisten anderen Websites laufen. Am 24. September 2026 erschienen PHP 8.5.11, 8.4.26, 8.3.35 und 8.2.34. Alle vier sind Sicherheitsreleases: Das PHP-Team empfiehlt allen, so schnell wie möglich zu aktualisieren.
Die wichtigsten behobenen Lücken:
| Lücke | Komponente | Was konnte passieren? |
|---|---|---|
| CVE-2026-91765 | SOAP-Erweiterung (Schweregrad: hoch, CVSS 7,5) | Ein Angreifer konnte einen öffentlich erreichbaren SOAP-Endpunkt ohne Anmeldung mit einer speziell präparierten XML-Nachricht zum Absturz bringen. |
| CVE-2026-91768 | PHP-FPM | Die Zugriffskontrolle (listen.allowed_clients) ließ sich über IPv6-Verbindungen umgehen. |
| CVE-2026-91766 | HTTP-Streams | Bei einer Weiterleitung auf einen anderen Server konnten Zugangsdaten wie Authorization- und Cookie-Header mitgesendet werden. |
| CVE-2026-91769 | OpenSSL-Streams | Die Prüfung eines Serverzertifikats konnte fälschlicherweise auf den Common Name zurückfallen. |
Außerdem wurden Speicherfehler unter anderem in der Phar-Erweiterung und in mysqlnd behoben.
Bereits am 30. Juli 2026 erschien eine weitere Sicherheitsrunde (PHP 8.5.9, 8.4.24, 8.3.33 und 8.2.33). Darin wurden unter anderem eine SQL-Injection in der PostgreSQL-Erweiterung (CVE-2026-17543) und ein Speicherfehler in bccomp() (CVE-2026-17544) behoben. Auch diese Updates sind auf unseren Servern eingespielt.
Was haben wir getan?
- Alle unterstützten PHP-Versionen auf unseren Servern wurden auf die gepatchten Releases aktualisiert. Die Updates sind auf allen unseren Servern aktiv.
- Unsere festen Sicherheitsebenen bleiben aktiv, etwa die Imunify360-Firewall mit Malware-Scan und unser DDoS-Schutz.
- Wir verfolgen neue Sicherheitsmeldungen und installieren Updates, sobald sie erscheinen.
Was bedeutet das für deine Website?
Nutzt deine Website eine unterstützte PHP-Version (8.2 oder neuer)? Dann läuft sie bereits auf der sicheren Version. Du musst keine Einstellungen ändern und nichts erneut hochladen.
Achtung bei alten PHP-Versionen. PHP 7.4, 8.0 und 8.1 erhalten vom PHP-Team keine Sicherheitsupdates mehr. Läuft deine Website noch darauf, stelle sie auf eine neuere Version um. Auch der Support für PHP 8.2 endet am 31. Dezember 2026. Wähle deshalb am besten schon jetzt PHP 8.3 oder 8.4.
Was kannst du selbst tun?
- Prüfe deine PHP-Version. Melde dich in Plesk an, gehe zu Websites & Domains und klicke bei deiner Domain auf PHP (oder PHP-Einstellungen). Dort siehst du, welche Version ausgewählt ist.
- Wähle eine aktuelle Version. Steht dort 7.4, 8.0, 8.1 oder 8.2? Erstelle zuerst ein Backup, wähle dann PHP 8.3 oder 8.4 und klicke auf OK. Prüfe anschließend, ob deine Website einwandfrei funktioniert.
- Aktualisiere WordPress, Themes und Plugins. Eine sichere PHP-Version hilft am meisten, wenn auch die Software darauf aktuell ist.
- Entwickelst du selbst mit SOAP oder externen API-Anbindungen? Dann prüfe, ob dein Code keine Zugangsdaten an andere Server sendet und ob Zertifikate streng geprüft werden.
Weitere Schritt-für-Schritt-Anleitungen findest du in unseren Artikeln zu Plesk, WordPress und Sicherheit.
Brauchst du Hilfe?
Bist du unsicher, welche PHP-Version deine Website nutzt, oder sollen wir einen Blick darauf werfen? Kontaktiere uns per WhatsApp, Ticket oder E-Mail. Unser Support ist wirklich rund um die Uhr erreichbar, auch nachts.
Noch kein Kunde? Unser Webhosting und unser WordPress-Hosting laufen immer auf aktueller, sicherer Software. Der Wechsel ist kostenlos: Wir ziehen deine Website und E-Mails ohne Ausfallzeit um.