PHP-Sicherheitsupdate am 21. Oktober: So bereiten Sie sich vor

Warum das PHP-Update für Unternehmen zählt

Ein angekündigter Eingriff mit betrieblicher Bedeutung

PHP bildet die technische Grundlage zahlreicher Websites und Webanwendungen. Dazu zählen auch Content-Management-Systeme, Online-Shops und individuell entwickelte Dienste. Eine Schwachstelle in dieser Laufzeitumgebung kann deshalb mehr betreffen als einzelne Seiten: Je nach Einsatz hängt davon ab, ob Kunden Angebote aufrufen, Anfragen absenden oder Bestellungen abschließen können.

Das PHP-Sicherheitsteam hat für Mittwoch, den 21. Oktober 2026, um 14:00 UTC ein Sicherheitsupdate angekündigt. Es soll zwei Schwachstellen beheben, die jeweils mit 9,2 nach CVSS v4.0 bewertet wurden. Technische Einzelheiten, betroffene PHP-Versionen und Versionsnummern der Korrekturen sollen erst mit der Veröffentlichung bekannt werden. Bis dahin sollten Verantwortliche jede eigene PHP-Installation als möglicherweise betroffen behandeln.

Warum Vorbereitung jetzt Zeit spart

Das Team kann die Updates früher veröffentlichen, falls Einzelheiten zu einer Schwachstelle öffentlich werden oder ein Angriff bekannt wird. Unternehmen sollten daher nicht erst am geplanten Zeitpunkt mit der Zuständigkeitssuche beginnen. Ein vorbereitetes Vorgehen verkürzt die Zeit zwischen Veröffentlichung und Installation. Das reduziert das Zeitfenster, in dem ungepatchte Systeme betrieben werden, und hilft, unnötige Unterbrechungen für Website und Marketing zu vermeiden.

Systeme und Zuständigkeiten vorab klären

PHP-Bestand vollständig aufnehmen

Erstellen Sie eine Liste aller Umgebungen, in denen PHP läuft. Dazu gehören Webserver, Container, Images für CI-Prozesse und Entwicklungsrechner. Notieren Sie jeweils die verwendete Version sowie die zuständige Person oder das zuständige Team. So lässt sich nach Veröffentlichung prüfen, welche Systeme ein Update benötigen, statt sich auf eine unvollständige Erinnerung an die eigene Infrastruktur zu verlassen.

Bei WordPress finden Sie die PHP-Version im Administrationsbereich unter Werkzeuge → Website-Zustand → Bericht → Server. Prüfen Sie auch, ob neben der öffentlich erreichbaren Website weitere Anwendungen oder Testsysteme PHP verwenden.

Update-Verantwortung festlegen

Bei selbst betriebenen Servern sollte eine zuständige Person das Update verfolgen und ein Wartungsfenster ab 14:00 UTC vorbereiten. Legen Sie fest, wer die Korrektur einspielt, wer die Website anschließend prüft und wer bei Problemen entscheidet. Sichern Sie Website- und Datenbankdateien vor dem Eingriff. Testen Sie den Ablauf, soweit möglich, zunächst in einer geeigneten Testumgebung.

Bei Managed Hosting oder Shared Hosting übernimmt der Anbieter die PHP-Aktualisierung. Fragen Sie rechtzeitig nach dem geplanten Zeitpunkt der Bereitstellung und klären Sie, ob Sie selbst etwas veranlassen müssen. Halten Sie außerdem die offizielle Mitteilung im Blick: Der Termin kann sich vorverlegen.

Update zügig einspielen und Geschäftsbetrieb prüfen

Unterstützte PHP-Zweige beachten

Sicherheitskorrekturen werden üblicherweise nur für unterstützte PHP-Zweige bereitgestellt. Laut aktuellem Stand sind das PHP 8.2 bis 8.5. Läuft eine Website auf einer älteren Version, reicht ein reguläres Patch-Update möglicherweise nicht aus; prüfen Sie dann den Wechsel auf einen unterstützten Zweig. Welche Versionen konkret betroffen sind und welche Pakete die Korrekturen enthalten, ist vor der Veröffentlichung noch offen.

Nach der Aktualisierung Funktionen kontrollieren

Installieren Sie nach Veröffentlichung die passende Korrektur zeitnah und prüfen Sie danach die zentralen Abläufe Ihrer Website: Seitenaufrufe, Formulare, Anmeldung und bei einem Shop den Bestellprozess. Achten Sie auf Fehlermeldungen und beobachten Sie, ob wichtige Funktionen wie erwartet arbeiten. Dokumentieren Sie Version, Zeitpunkt und Ergebnis, damit der Status für Betrieb und Marketing nachvollziehbar bleibt.

Ein klarer Ablauf schafft einen konkreten wirtschaftlichen Nutzen: Das Team verliert weniger Zeit mit der Suche nach Zuständigkeiten, und wichtige Seiten können schneller wieder verlässlich genutzt werden. Für Unternehmen, deren Kampagnen auf Website-Anfragen oder Verkäufe zielen, schützt eine zügige Aktualisierung zugleich die Grundlage, über die Interessenten den nächsten Schritt machen.

Änderungen dokumentieren und intern abstimmen

Halten Sie fest, welche Systeme aktualisiert wurden und welche noch auf eine Bereitstellung durch den Hosting-Anbieter warten. Wenn eine Prüfung fehlschlägt, dokumentieren Sie die betroffene Funktion und informieren Sie die zuständigen Personen. Bei einem Webshop oder laufenden Kampagnen sollte das Marketingteam wissen, ob Formulare oder Bestellungen vorübergehend eingeschränkt sind. So lassen sich interne Rückfragen schneller beantworten und Maßnahmen für Website-Besucher abstimmen.

Bleiben Sie bis zur Veröffentlichung bei den angekündigten Angaben: Welche PHP-Versionen betroffen sind und welche konkreten Korrekturen benötigt werden, steht noch nicht fest. Prüfen Sie diese Informationen, sobald das PHP-Sicherheitsteam sie bekannt gibt, und gleichen Sie sie mit Ihrem erfassten Bestand ab.