Leistungen
Für den 21. Oktober 2026 hat das PHP-Projekt Sicherheitsupdates für zwei kritische Schwachstellen angekündigt. Betroffen sind Webserver mit PHP – egal, ob darauf TYPO3, WordPress, ein Shop oder eine eigene Anwendung läuft.
Ich spiele das Update ein, prüfe vorher, welche PHP-Version eingesetzt wird, und schaue danach, ob alles wie gewohnt funktioniert. Wenn die eingesetzte Version bereits zu alt ist, kläre ich, was für einen Wechsel auf eine unterstützte Version notwendig ist.
Für Websites und Anwendungen, die ich regelmäßig betreue, gehört das seit Jahren zum normalen Wartungsalltag.
Hintergrund
Am 20. Oktober hat das PHP-Sicherheitsteam eine Vorankündigung veröffentlicht. Die Updates erscheinen am 21. Oktober um 14 Uhr UTC, also um 16 Uhr deutscher Zeit.
Es geht um zwei kritische Sicherheitslücken, die beide mit 9,2 von 10 Punkten nach CVSS 4.0 bewertet werden. Mit dem Update werden auch die Details zu den Schwachstellen und den betroffenen Versionen veröffentlicht.
heise Security berichtet, dass über die Lücken unter Umständen Code aus der Ferne ausgeführt werden kann. Deshalb sollte das Update nach Veröffentlichung zeitnah eingespielt werden.
Aktuell liefert das PHP-Projekt Sicherheitsupdates für die Versionen 8.2 bis 8.5. Wer noch PHP 8.1 oder älter einsetzt, sollte unabhängig von diesem konkreten Update auf eine unterstützte Version wechseln. Dabei muss auch geprüft werden, ob das eingesetzte CMS, Extensions, Plugins und eigener Code mit der neuen PHP-Version funktionieren.
Ablauf
Erfahrung
Ich arbeite seit 2005 mit TYPO3 und entwickle und betreue seit 2009 Websites und Anwendungen mit PHP – für Unternehmen, Stadtwerke und Agenturen.
Bei den Websites und Anwendungen, die ich regelmäßig betreue, gehören Sicherheitsupdates für PHP, CMS und Extensions zur normalen Wartung. Updates werden dabei möglichst erst auf einer Kopie geprüft und anschließend auf der Live-Website eingespielt.
Diese Erfahrung bringe ich auch bei Websites mit, die ich nicht selbst entwickelt habe. Bei der Übernahme einer TYPO3-Website oder einer WordPress-Installation steht deshalb zunächst eine Bestandsaufnahme an. Dabei zeigt sich häufig auch, ob PHP, CMS oder Erweiterungen bereits veraltet sind.
Die TYPO3 Association hat mich als Integrator, Developer und Consultant zertifiziert.
FAQ
Viele Hoster übernehmen die Sicherheitsupdates innerhalb einer PHP-Reihe selbst, manche erst nach einigen Tagen. Prüfen Sie im Kundenmenü, welche PHP-Version für Ihre Website eingestellt ist und ob diese Reihe noch Updates bekommt. Steht die Website auf einer Version ohne Support, ändert das automatische Update nichts. Dann muss die Website auf eine neuere Reihe wechseln, und das betrifft CMS, Extensions und eigenen Code.
Vom PHP-Projekt nicht: Für diese Reihen ist der Sicherheitssupport beendet, für PHP 8.1 seit dem 31. Dezember 2025. Einzelne Distributionen und Hoster pflegen Korrekturen in ältere Pakete zurück, verlassen sollte man sich darauf nicht. Der sichere Weg ist der Wechsel auf eine unterstützte Reihe. Dafür muss das CMS mitziehen: Ältere TYPO3- und WordPress-Installationen brauchen vorher ein Upgrade von Core, Extensions und Plugins.
Dringend. Beide Lücken erlauben Codeausführung über das Netz, und Sicherheitsforschende rechnen mit Angriffen kurz nach der Veröffentlichung. Das Update gehört am Tag der Veröffentlichung eingespielt. Wo das nicht möglich ist, steht die Entscheidung an, ob der Server bis dahin erreichbar bleibt.
Innerhalb derselben PHP-Reihe, etwa von 8.3.35 auf die korrigierte Version, ändert sich am Verhalten nichts, die Website läuft weiter wie vorher. Der Wechsel auf eine höhere Reihe, etwa von 8.1 auf 8.3, kann Extensions, Plugins und eigenen Code betreffen. Deshalb prüfe ich einen solchen Wechsel auf einer Kopie der Website, bevor er online geht.
Auf Wunsch ja. Ein Wartungsvertrag mit monatlicher Pauschale deckt dann Updates von PHP, CMS und Extensions ab, mit Umfang und Reaktionszeiten, die zum Projekt passen. Für die Systeme, die ich betreue, sind solche Updates seit Jahren Routine.
Kontakt
Schicken Sie mir die Adresse Ihrer Website und, falls bekannt, die PHP-Version und den Hoster. Ich sehe mir die Website an und melde mich mit einer Einschätzung, was zu tun ist und wie schnell.
Mehr zu Übernahme und Betreuung: