Alarm für Millionen Webseiten: Was die PHP-Sicherheitslücke für den Mittelstand bedeutet

Eine Warnung des Bundesamtes für Sicherheit in der Informationstechnik (BSI) sorgt derzeit für Unruhe bei Website-Betreibern. Betroffen ist nicht ein einzelnes Programm, sondern PHP, eine der wichtigsten Grundlagen des modernen Internets. Für viele kleine und mittlere Unternehmen stellt sich daher die Frage: Ist meine Unternehmenswebsite gefährdet?

Das Problem steckt unter der Motorhaube

Die meisten Unternehmerinnen und Unternehmer haben schon von WordPress, Joomla oder Online-Shops gehört. Weniger bekannt ist PHP. Dabei arbeitet die Programmiersprache im Hintergrund von Millionen Webseiten weltweit.

Aktuelle Sicherheitswarnungen beziehen sich auf zwei neu bekannt gewordene Schwachstellen mit den Kennungen CVE-2026-109618 und CVE-2026-109619. Sicherheitsexperten bewerten sie mit 9,2 von 10 möglichen Punkten und stufen sie damit als kritisch ein. Nach Angaben des BSI könnten Angreifer die Schwachstellen nutzen, um aus der Ferne Schadcode auf betroffenen Servern auszuführen.

Für Laien lässt sich das so übersetzen: Nicht die Haustür Ihres Unternehmens ist das Problem, sondern das Fundament des Gebäudes.

WordPress aktuell? Das reicht möglicherweise nicht

Viele Unternehmer gehen davon aus, dass regelmäßige Updates von WordPress oder Joomla ausreichend Schutz bieten. Genau darin liegt die Besonderheit des aktuellen Falls.

Die Schwachstelle befindet sich unterhalb des eigentlichen Content-Management-Systems. Selbst eine aktuell gepflegte WordPress-Installation kann betroffen sein, wenn auf dem Server eine verwundbare PHP-Version läuft. Experten weisen darauf hin, dass die Sicherheit in diesem Fall vor allem von der PHP-Umgebung des Hosters abhängt.

Betroffen sein können unter anderem:

Unternehmenswebseiten
Online-Shops
Kundenportale
Buchungssysteme
Vereins- und Verbandsseiten
Intranets
Blogs

Da PHP die technische Grundlage zahlreicher Webanwendungen bildet, reicht die mögliche Gefährdung weit über klassische Firmenwebseiten hinaus.

Warum Mittelständler besonders aufmerksam sein sollten

Große Konzerne verfügen meist über eigene IT-Abteilungen, die Sicherheitswarnungen rund um die Uhr beobachten. Viele kleine und mittelständische Unternehmen hingegen verlassen sich auf einen Dienstleister, eine Agentur oder die Standardkonfiguration ihres Hosters.

Das funktioniert im Alltag meist problemlos. Problematisch wird es jedoch, wenn vergessen wurde, ältere Installationen zu aktualisieren.

Besonders kritisch sind oft:

veraltete WordPress-Installationen
frühere Kampagnen-Webseiten
Testumgebungen
alte Joomla-Portale
nicht mehr genutzte Subdomains

Cyberkriminelle suchen gezielt nach solchen Schwachstellen, weil sie häufig über Jahre unbeachtet geblieben sind.

Was kann im schlimmsten Fall passieren?

Wird eine solche Sicherheitslücke erfolgreich ausgenutzt, können die Folgen erheblich sein:

Manipulation der Unternehmenswebsite
Diebstahl von Kundendaten
Einschleusen von Schadsoftware
Versand von Spam über den eigenen Server
Ausfall der Webseite
Reputationsschäden
Mögliche Datenschutzprobleme

Besonders für Unternehmen mit Online-Shops, Kundenportalen oder Mitgliederbereichen kann ein erfolgreicher Angriff erhebliche wirtschaftliche Folgen nach sich ziehen.

Was Unternehmen jetzt tun sollten

Die gute Nachricht: Niemand muss selbst Programmierer sein, um das Risiko einzuschätzen.

1. Hosting-Anbieter kontaktieren

Der erste Ansprechpartner ist der Webhoster.

Eine kurze Anfrage genügt:

„Sind die Sicherheitsupdates für die aktuellen PHP-Schwachstellen bereits auf meinen Webservern installiert?“

Professionelle Anbieter arbeiten bereits daran, entsprechende Sicherheitsupdates einzuspielen.

2. PHP-Version überprüfen

Viele Hosting-Pakete zeigen die verwendete PHP-Version in der Verwaltungskonsole an.

Wer dort noch sehr alte Versionen entdeckt, sollte gemeinsam mit seinem Dienstleister zeitnah eine Aktualisierung planen.

3. WordPress und Joomla aktualisieren

Auch wenn die aktuelle Schwachstelle PHP betrifft, sollten gleichzeitig alle verfügbaren Updates für:

WordPress
Joomla
Plugins
Themes
Erweiterungen

eingespielt werden.

4. Backups kontrollieren

Unternehmen sollten sicherstellen, dass aktuelle Sicherungen vorhanden sind und sich im Ernstfall auch tatsächlich wiederherstellen lassen.

5. Alte Webprojekte überprüfen

Nicht selten liegt das größte Risiko in vergessenen Installationen. Eine kurze Bestandsaufnahme aller Domains und Subdomains kann sich jetzt auszahlen.

Eine Erinnerung an die Abhängigkeit vom digitalen Fundament

Der aktuelle Vorfall zeigt einmal mehr, wie abhängig Unternehmen von Technologien sind, die im Hintergrund arbeiten und von den meisten Nutzern kaum wahrgenommen werden. Während über Design, Social Media oder Suchmaschinenoptimierung häufig gesprochen wird, geraten technische Grundlagen oft erst dann in den Fokus, wenn eine Sicherheitswarnung auftaucht.

Für den Mittelstand lautet die wichtigste Botschaft deshalb: Keine Panik, aber handeln. Wer seinen Hoster kontaktiert, die PHP-Version überprüft und bestehende Systeme aktualisiert, reduziert das Risiko erheblich.

Denn selbst die modernste Unternehmenswebsite ist nur so sicher wie die technische Basis, auf der sie läuft.

Quellen: Bundesamt für Sicherheit in der Informationstechnik (BSI), PHP Security Team, aktuelle Sicherheitswarnungen zu den Schwachstellen CVE-2026-109618 und CVE-2026-109619. | mit KI