Zwei kritische Sicherheitslücken in PHP, einer weit verbreiteten Technologie für Webanwendungen, bedrohen weltweit Millionen Internetseiten. Angreifer könnten diese Schwachstellen nutzen, um ohne Anmeldung Schadcode auf Webservern auszuführen, Daten auszuspähen oder Webseiten zu manipulieren.
Das Bundesamt für Sicherheit in der Informationstechnik (BSI) stuft die Bedrohung als hoch ein und empfiehlt unverzügliches Handeln.
Wer ist betroffen?
Grundsätzlich können alle Webseiten und Anwendungen betroffen sein, die PHP einsetzen. Dazu zählen insbesondere:
- Webseiten mit WordPress, TYPO3, Joomla oder Contao
- Online-Shops, beispielsweise mit WooCommerce oder Shopware
- Buchungs- und Reservierungssysteme sowie webbasierte Hotelsoftware, sofern diese PHP verwenden
Besondere Aufmerksamkeit gilt Webseiten, die noch mit veralteten PHP-Versionen betrieben werden. Die aktuellen Sicherheitslücken betreffen jedoch auch neuere Versionen, sofern die erforderlichen Updates fehlen.
Was ist jetzt zu tun?
Nach Rücksprache mit den IT-Experten unserer Agentur empfehlen wir Ihnen und allen Mitgliedern dringend, umgehend Kontakt mit Ihrer Webagentur, Ihrem Hoster oder IT-Dienstleister aufzunehmen und prüfen zu lassen, ob Ihre Systeme betroffen sind und die notwendigen Sicherheitsupdates bereits installiert wurden.
Folgende PHP-Versionen gelten nach aktuellem Stand als abgesichert und können eingesetzt werden:
- 8.5/8.5.12 Oct 21, 2026php
- 8.4/8.4.27 Oct 21, 2026php
- 8.3/8.3.36 Oct 21, 2026php
- 8.2/8.2.35 Oct 21, 2026
Für einige ältere Versionen wurden ebenfalls Sicherheitspatches bereitgestellt.
Seiten, für die nicht umgehend ein Sicherheitsupdate eingespielt werden kann, sollten vorsorglich offline bleiben, bis die erforderlichen Updates installiert sind. Ein paar Stunden offline sind deutlich günstiger als ein gehackter Server oder ein Datenschutzvorfall.
Bei Cloud-/SaaS-Lösungen (z. B. gemietetes PMS) lassen Sie sich bitte vom Anbieter bestätigen, dass die erforderlichen Sicherheitsupdates eingespielt wurden.
Auch die Webseite des DEHOGA Bundesverbandes sowie die BDT-Webseite waren zwischenzeitlich nicht erreichbar. Inzwischen sind beide Seiten wieder online. Die Unipas-Webseite wurde dagegen auf Empfehlung vorsorglich vom Netz genommen.
Weitere Informationen und konkrete Handlungsempfehlungen finden Sie im BSI-Sicherheitshinweis vom 21. Oktober 2026.