Online Marketing & SEO
PHP-Sicherheitslücke: So helfen OpenAI Codex und Google
Zwei große Sicherheitslücken im PHP-Web-Skript bringen Millionen Webserver in Gefahr, weil zahlreiche Dienste wie WordPress und TYPO3, aber auch andere Seiten darüber laufen. OpenAIs Codex liefert jetzt einen Skill, mit dem du prüfen kannst, ob du betroffen bist. Außerdem gibt es Patch-Hinweise vom PHP Team und eine wichtige Ergänzung von Google.
Eine riesige Sicherheitslücke in der Programmiersprache PHP sorgt für Aufruhr im Digitalraum. PHP ist die Basis zahlreicher Online-Dienste und Websites. Allein über das CMS WordPress werden nach Schätzungen von Expert:innen weltweit 400 bis 500 Millionen Seiten betrieben. Gleich zwei schwerwiegende Sicherheitsprobleme werden unter „PHP2Shell“ mit den Kennungen CVE-2026-109618 und CVE-2026-109619 angegeben. Sie gelten als besonders kritisch, erreichen dabei den Wert 3 von 4 (Orange) und könnten es arglistigen Angreifer:innen erlauben, Schad-Code zu integrieren oder Speicher auszulesen. Das Schadenspotential ist enorm.
Betroffen sind alle PHP-Versionen, die in den vergangenen Jahren herausgekommen sind. Auch PHP 5, das schon als veraltet gilt. Deshalb müssen Seitenbetreiber:innen, die PHP-basierte Seiten und Dienste nutzen, jetzt handeln. Auch wenn das PHP Team angibt, alle Fehler in den alten Versionen gefunden zu haben, ist eine Reaktion nötig.
Was du tun kannst, um beim PHP-Problem Schaden zu vermeiden
Auf der PHP Website steht seit Mittwoch eine aktualisierte Version von PHP zum Download bereit. Ein Update ist dringend notwendig und wer eine ältere Version nutzt, sollte idealerweise mindestens die Version PHP 8.3 übernehmen, da PHP 8.2 ab Ende 2026 nicht mehr unterstützt wird, wie Heise berichtet. Ein vollständiger Patch ist die Ideallösung, das PHP Team verweist dennoch auf Alternativen wie RCE (Remote Code Execcutions)-Anpassungen im Bereich OOM curruption und stale global state. Auch das Verschleiern des Vorhandenseins von PHP kann ganz kurzfristig helfen, ist aber nur eine Kompromisslösung. Solche Optionen bieten aber keinen so großen Schutz wie richtige System-Updates. Bereit stehen neben den Anpassungen für alte Versionen wie 7.4, 8.0 und 8.1 die neueren Versionen:
- 8.5.12
- 8.4.27
- 8.3.36
- 8.2.35
Das Bundesamt für Sicherheit in der Informationstechnik hat in einem Dokument alle Sicherheitshinweise mit Handlungsempfehlungen zusammengefasst. Auch beim Warn- und Informationsdienst von CERT-Bund! findest du aktuelle Informationen zur Bedrohung.
Thomas Caspers, Vizepräsident des BSI, sagte in den Tagesthemen:
Und mit diesen Sicherheitsaktualisierungen werden jetzt eben auch Angreifer in die Lage versetzt – einfach, weil sie die genau analysieren -, Webseiten erfolgreich anzugreifen, die nicht gepatcht worden sind.
Die meisten Seitenbetreiber:innen haben schon reagiert. Aber wenn du noch nicht gehandelt hast, kannst du jetzt mithilfe von OpenAIs Codex herausfinden, ob du betroffen bist. Das Team des KI-Unternehmens hat eigens einen Codex Skill veröffentlicht, der bei der Identifikation von Problemen im Rahmen der PHP-Sicherheitslücke hilft. Das entsprechende Repository liegt auf GitHub vor und kann via Codex genutzt werden.
If you are wondering whether your website is affected, we have packaged a Codex skill to help check.
Point your Codex at this repo to guide you through it: https://t.co/XUEbOwXuQC
— OpenAI (@OpenAI) October 21, 2026
Wer unterdessen auf Notfalllösungen wie das Offline-Schalten von Servern oder teilweise Patches baut, sollte unbedingt darauf achten, einen 503 Status-Code (Service Unavailable) bereitzustellen. Darauf weist die Google Search Central auf LinkedIn noch einmal hin. Das stellt sicher, dass bereits indexierte Seiten auch während der Arbeit an Seiten oder am Server in der Suche verbleiben. Google rät davon ab, generische 404 oder 200 Error-Seiten einzusetzen. Mehr Informationen zu den Auswirkungen der Status-Codes findest du auf Googles Hilfeseite.
