Kritische PHP-Lücke: Warum KI-Angreifer schneller sind als Ihr Update – und wie KI Ihnen beim Schützen hilft.

Nach einer solchen Warnung stellt sich für jeden Website-Betreiber dieselbe Frage: „Muss ich bei meiner Website jetzt etwas tun?“ In den meisten Fällen lautet die Antwort: ja – und zwar zeitnah, nicht erst im nächsten Quartal. In diesem Artikel ordne ich ein, was passiert ist, warum KI die Lage für Angreifer wie Verteidiger verändert und was Sie als Betrieb ohne eigene IT-Abteilung konkret tun können.

Was am 21. Oktober passiert ist

Das PHP-Projekt hat eine Sicherheitswarnung mit der Überschrift „Critical remote code execution vulnerabilities, update now“ veröffentlicht. Es geht um zwei Lücken:

• CVE-2026-109618: Wenn PHP der Speicher ausgeht, kann eine Anfrage in einem halb vorbereiteten Zustand abgebrochen werden. Beim Aufräumen werden dann ungültige Daten als gültig behandelt – ein Einfallstor für Schadcode.
• CVE-2026-109619: Interne Daten einer Anfrage können überleben, obwohl ihr Speicher schon freigegeben ist. Eine spätere Anfrage an denselben Prozess kann diese veralteten Daten nutzen.

Laut PHP-Projekt sind alle PHP-Installationen betroffen, die Webanfragen beantworten: PHP-FPM, Apache mit mod_php, php-cgi, FrankenPHP und LiteSpeed. Am höchsten ist das Risiko bei mod_php – dort wurde gezeigt, dass eine einzige Anfrage ohne Anmeldung den Angriff auslösen kann, bevor überhaupt Code Ihrer Website läuft. Ein Sicherheits-Plugin in WordPress sieht davon also nichts.

Bin ich betroffen?

Wenn Ihre Website mit WordPress, TYPO3, Joomla, Shopware, WooCommerce oder einem anderen PHP-System läuft: ja, solange die PHP-Version nicht auf dem Stand vom 21. Oktober ist. Entscheidend ist, wer für PHP auf Ihrem Server zuständig ist:

• Normales Webhosting-Paket: Der Anbieter aktualisiert PHP in der Regel selbst – aber innerhalb der Version, die Sie im Kundenbereich ausgewählt haben. Steht dort 7.4 oder 8.1, gibt es vom PHP-Projekt keine reguläre Korrektur; fragen Sie nach, ob Ihr Anbieter eine eigene liefert.
• Eigener Server oder VPS: Sie oder Ihre Agentur sind selbst zuständig. Prüfen Sie, ob Ihre Linux-Distribution aktualisierte Pakete bereitstellt, und spielen Sie sie heute ein.
• Agentur betreut die Seite: Fragen Sie schriftlich nach – mit konkreter Versionsnummer und Datum des Updates.

Ihre PHP-Version finden Sie im Kundenbereich Ihres Hosters. Bei WordPress steht sie zusätzlich unter Werkzeuge → Website-Zustand → Bericht → Server.

Wer nicht weiß, wo er suchen soll, kann sich von Claude oder ChatGPT anleiten lassen. Mit eingeschalteter Websuche können beide Ihre Seite aufrufen; ob sie dabei auch technische Server-Angaben wie die PHP-Version sehen, hängt vom Werkzeug ab. Verlässlich ist der zweite Teil: Sie führen Sie Schritt für Schritt zum richtigen Menüpunkt.

Zwei Hinweise dazu: Die meisten gut eingerichteten Server verraten ihre PHP-Version gar nicht öffentlich – dann bleibt der Blick in den Kundenbereich oder die Nachfrage beim Hoster. Und falls die Version doch sichtbar ist, ist das selbst ein kleiner Härtungspunkt: Angreifer suchen genau nach solchen Angaben. Bitten Sie Ihren Hoster oder Ihre Agentur, sie auszublenden.

Das größere Problem: veraltete PHP-Versionen

Die aktuelle Lücke legt ein Problem offen, das viel länger besteht: Ein großer Teil der Websites läuft auf PHP-Versionen, die gar keine Sicherheitsupdates mehr bekommen.

Die Zahlen stammen aus der Statistik von WordPress.org (abgerufen am 22.10.2026). Über alle Websites hinweg sieht es ähnlich aus: Laut W3Techs nutzen 26,9 % der PHP-Websites noch Version 7 und 7,7 % sogar Version 5.

Wer heute noch auf 8.2 ist, hat also zwei Aufgaben: jetzt das Sicherheitsupdate einspielen und bis Jahresende auf mindestens 8.3 wechseln.

Warum KI Angreifer schneller macht

Früher hatten Betriebe nach einer Sicherheitswarnung oft Wochen Zeit. Das ist vorbei, und KI ist einer der Gründe dafür.

• Ausnutzung vor dem Patch: Das IT-Notfallteam der EU-Institutionen (CERT-EU) verweist auf Googles M-Trends-Bericht 2026: Im Mittel werden neue Lücken inzwischen rund sieben Tage vor dem Patch ausgenutzt. 2018 lag die Spanne noch bei 63 Tagen nach der Veröffentlichung.
• Drei Tage bis zum Angriff: Rapid7 hat für das dritte Quartal 2026 gemessen, dass schwere Lücken im Schnitt drei Tage nach Veröffentlichung ausgenutzt wurden; 71 % der beobachteten Angriffe erfolgten in den ersten sieben Tagen.
• KI findet und versteht Lücken schneller: CERT-EU beschreibt, dass Angreifer veröffentlichte Patches automatisiert mit dem alten Code vergleichen und KI nutzen, um daraus funktionierende Angriffe abzuleiten. Das BSI hält es für möglich, dass der starke Anstieg gemeldeter Schwachstellen auf KI-getriebene Schwachstellensuche zurückgeht.

Für die aktuelle PHP-Lücke heißt das konkret: Automatisierte Scanner suchen gezielt nach Servern mit alten PHP-Versionen, und das in großem Maßstab. Für Angreifer ist eine kleine Handwerker-Website kein „uninteressantes Ziel“, sondern ein billiger Server – für Spam, für Schadsoftware, für Phishing-Seiten unter Ihrem guten Namen oder als Sprungbrett zu Ihren Kundendaten.

Wie KI bei der Verteidigung hilft

CERT-EU betont ausdrücklich, dass Verteidiger nicht machtlos sind: Dieselben KI-Fähigkeiten stehen auch ihnen zur Verfügung. Für einen kleinen Betrieb ohne IT-Abteilung sehe ich vier Einsatzfelder, die wirklich tragen.

1. Die Warnung verstehen und richtig weitergeben

Sicherheitswarnungen sind auf Englisch und voller Fachbegriffe. Ein KI-Assistent übersetzt sie in Ihre Lage – vorausgesetzt, Sie geben ihm den Originaltext. Das ist wichtig: Die Modelle kennen Ereignisse nach ihrem Trainingsstand nicht und können Versionsnummern sonst schlicht erfinden.

2. Die eigenen Seiten prüfen

Wer mehrere Websites betreut – eine Hauptseite, einen Shop, eine alte Kampagnenseite –, verliert schnell den Überblick. KI-gestützte Werkzeuge helfen, eine Bestandsliste aufzubauen: welche Seite, welches System, welche PHP-Version, welche Plugins, welcher Stand. Abgeglichen mit öffentlichen Schwachstellendatenbanken entsteht daraus eine Prioritätenliste. Prüfen Sie dabei nur Systeme, für die Sie verantwortlich sind oder für die Sie eine schriftliche Erlaubnis haben.

3. Protokolle auf Anomalien untersuchen

Jeder Webserver schreibt Zugriffs- und Fehlerprotokolle. Darin stehen oft die ersten Hinweise auf einen Angriff – nur liest sie in kleinen Betrieben niemand. Genau hier ist KI stark: Muster in tausenden Zeilen zu finden.

Typische Auffälligkeiten, gerade passend zur aktuellen Lücke:

• ungewöhnlich große POST-Anfragen oder Anfragen mit sehr vielen Formularteilen
• gehäufte Speicherfehler („Allowed memory size exhausted“) im PHP-Fehlerprotokoll
• neue .php-Dateien in Upload-Ordnern, die dort nichts zu suchen haben
• Anmeldungen im Admin-Bereich zu ungewöhnlichen Zeiten oder aus unerwarteten Ländern

4. Maßnahmen vorbereiten – nicht blind übernehmen

KI ist gut darin, aus der Warnung und Ihrer Umgebung einen Maßnahmenplan zu entwerfen: Welche Einstellung wo, welche Grenze für Anfragegrößen, welche Regel in der Web-Firewall Ihres Hosters. Das spart Zeit. Aber jede vorgeschlagene Änderung prüft ein Mensch, der den Server kennt – und testet sie, bevor sie live geht. Eine falsch gesetzte Grenze legt sonst Ihr Kontaktformular oder Ihren Shop lahm.

Wo KI nicht hilft

• KI spielt das Update nicht ein. Weder ChatGPT noch Claude haben Zugriff auf Ihren Server. Das Update macht Ihr Hoster, Ihre Agentur oder Sie selbst.
• KI kennt die neueste Lücke nicht von sich aus. Ohne eingefügten Originaltext antwortet sie auf Basis älteren Wissens – und klingt dabei genauso überzeugt.
• „Keine Auffälligkeit gefunden“ heißt nicht „sicher“. Ein Angriff über diese Lücke kann passieren, bevor die Website überhaupt etwas protokolliert. Bei begründetem Verdacht gehört die Prüfung in Fachhände.
• Notlösungen bleiben Notlösungen. Die von php.net genannten Einstellungen sind laut PHP-Projekt ausdrücklich kein vollständiger Schutz.

Härten und patchen als Routine

Die aktuelle Lücke wird nicht die letzte sein. Wenn Angriffe nach Tagen statt Wochen kommen, reicht es nicht, auf die nächste Schlagzeile zu reagieren. Was sich in der Praxis bewährt:

• Fester Patch-Termin einmal im Monat für PHP, CMS, Plugins und Themes – plus ein vereinbarter Notfallweg für kritische Warnungen wie diese, der innerhalb von 24 Stunden greift.
• PHP-Lebenszyklus im Kalender: Das Ende der Sicherheitsupdates steht Jahre vorher fest. Den Wechsel plant man ein Quartal vorher, nicht in der Silvesterwoche.
• Weniger ist sicherer: Ungenutzte Plugins, Themes, Testinstallationen und alte Unterseiten entfernen. Jede Zeile Code, die nicht läuft, kann auch nicht angegriffen werden.
• Code härten: Eigene Erweiterungen und Formulare regelmäßig prüfen – Eingaben begrenzen und prüfen, Uploads nur mit erlaubten Dateitypen, keine Fehlermeldungen mit Details nach außen. KI kann bei diesem Review unterstützen; wie das ohne neue Risiken gelingt, beschreibe ich im Artikel KI-Code in der Produktion.
• Backups, die getestet sind: Ein Backup, das nie zurückgespielt wurde, ist eine Hoffnung, kein Backup.
• Laufende Überwachung: Dateiänderungen und auffällige Zugriffe automatisch melden lassen – hier kann KI-gestützte Auswertung die Arbeit dauerhaft übernehmen, statt nur im Ernstfall.

Rechtlich ist das kein Selbstzweck: Die DSGVO verlangt in Artikel 32 technische Maßnahmen, die dem Risiko angemessen sind und den Stand der Technik berücksichtigen. Wird eine Website mit personenbezogenen Daten angegriffen, muss die Datenpanne nach Artikel 33 in der Regel binnen 72 Stunden der Aufsichtsbehörde gemeldet werden. Meine Einschätzung, keine Rechtsberatung: Eine seit Tagen bekannte, kritische und ungepatchte Lücke dürfte schwer als „angemessen geschützt“ zu erklären sein.

Checkliste: heute, diese Woche, bis Jahresende

Häufige Fragen

Reicht es, WordPress und die Plugins zu aktualisieren?

Nein. Die Lücke steckt in PHP selbst, also in der Software, auf der WordPress läuft. Ein WordPress-Update ändert daran nichts, ebenso wenig ein Sicherheits-Plugin – der Angriff kann laut PHP-Projekt erfolgen, bevor WordPress überhaupt startet.

Mein Hoster kümmert sich doch um alles, oder?

Teilweise. Im normalen Webhosting aktualisiert der Anbieter PHP in der Regel innerhalb der Version, die Sie ausgewählt haben. Haben Sie eine veraltete Version eingestellt, etwa weil ein altes Plugin sie brauchte, bleiben Sie ohne reguläres Update. Die Auswahl der Version liegt bei Ihnen. Ob das aktuelle Sicherheitsupdate schon eingespielt ist, erfahren Sie im Zweifel nur durch eine Nachfrage beim Support.

Darf ich Server-Protokolle in ChatGPT oder Claude kopieren?

Nur mit Vorsicht. Protokolle enthalten IP-Adressen und damit personenbezogene Daten. Ersetzen Sie die Adressen vorher, nutzen Sie einen Anbieter mit Auftragsverarbeitungsvertrag oder ein lokales Modell, und kopieren Sie niemals Passwörter oder Konfigurationsdateien mit Zugangsdaten.

Kann KI meine Website selbstständig absichern?

Nein. KI kann Warnungen erklären, Protokolle auswerten, Auffälligkeiten melden und Maßnahmen vorschlagen. Das Update, die Entscheidung über Konfigurationsänderungen und die Verantwortung bleiben bei Menschen, die Zugriff auf den Server haben.

Wie schnell muss ich reagieren?

So schnell wie möglich. Rapid7 hat für das dritte Quartal 2026 gemessen, dass schwere Lücken im Schnitt drei Tage nach Veröffentlichung ausgenutzt werden. Für diese Lücke gibt es laut PHP-Projekt bereits einen gezeigten Angriff ohne Anmeldung.

Mein Take in einem Absatz

Die PHP-Lücke vom 21. Oktober ist ernst, aber das eigentliche Thema ist größer: Ein Drittel der WordPress-Seiten läuft auf PHP-Versionen ohne Sicherheitsupdates, und Angreifer brauchen dank KI nur noch Tage statt Wochen. Wer darauf mit Panik reagiert, verliert; wer mit Routine reagiert, gewinnt. KI ist dabei auf beiden Seiten im Spiel – sie macht Angreifer schneller, aber sie gibt auch kleinen Betrieben ohne IT-Abteilung Werkzeuge, die früher nur Konzerne hatten: Warnungen verstehen, Protokolle lesen, Auffälligkeiten finden. Das Update einspielen muss trotzdem ein Mensch. Am besten diese Woche.