PHP-Sicherheitswarnung: Updates und Migration auf PHP 8.5

Was zum 21. Oktober 2026 bestätigt ist

Stand: 21. Oktober 2026, 12:40 Uhr MESZ. PHP hat für 16:00 Uhr MESZ (14:00 UTC) ein Sicherheitsrelease zu zwei kritischen Lücken mit jeweils CVSS v4.0 9,2 angekündigt. Betroffene und behobene Versionen sollen mit dem Release folgen. Zum Recherchezeitpunkt lag die Vorankündigung vor; konkrete Patchstände waren darin noch nicht genannt.

CloudLinux führt die vorab berichteten Kennungen CVE-2026-109618 und CVE-2026-109619 auf. PHP nennt sie in der Vorankündigung noch nicht. Eine vollständige Liste betroffener Versionen oder bestätigte Patchstände leiten wir daraus nicht ab.

CloudLinux meldet bereits passende Angriffsversuche und beschreibt WAF-Regeln als vorübergehenden Teilschutz. Solche Maßnahmen ersetzen das Update nicht. Welche Zwischenmaßnahme für Ihre Installation geeignet ist, muss anhand der Herstellerhinweise geprüft werden.

Was Sie jetzt vorbereiten können

• Bestand erfassen: Welche Websites, Subdomains, Shops, Schnittstellen und Hintergrundjobs verwenden PHP? Version, Paketquelle und verantwortliche Person pro Anwendung notieren.
• Web und Hintergrundprozesse getrennt prüfen: Die im Hosting-Panel gewählte PHP-Version und die Version für Cronjobs oder Queue-Worker können unterschiedlich sein. Eine Versionsprüfung auf der Kommandozeile allein reicht für die Website nicht aus.
• Updateweg klären: Wer liefert die Pakete oder Container-Images, wer installiert sie und wer prüft den Erfolg? Bei Managed Hosting den zuständigen Anbieter einbeziehen; bei eigener Administration die Herstellerhinweise und Paketverfügbarkeit verfolgen.
• Rückweg vorbereiten: Dateien, Datenbanken und Konfiguration sichern, Wiederherstellbarkeit prüfen und ein Wartungsfenster mit erreichbaren Ansprechpartnern festlegen.
• Nach Verfügbarkeit handeln: Das für die eigene Installation freigegebene Sicherheitsupdate zeitnah einspielen. Betroffene Prozesse nach Herstelleranweisung neu starten und danach tatsächlich laufende Versionen sowie Anwendungsfunktionen kontrollieren.

Sicherheitsupdate und Versionswechsel getrennt planen

Ein akutes Sicherheitsupdate sollte nicht auf einen längeren Anwendungsumbau warten. Gibt es für Ihren noch unterstützten PHP-Zweig einen passenden Fix, ist dieser zunächst der direkte Weg zur Behebung. Eine Migration auf PHP 8.5 kann parallel vorbereitet werden. Maßgeblich ist der bestätigte Fix im eingesetzten Paket – die Angabe „PHP 8.5“ allein ist keine Sicherheitsfreigabe.

Bei bereits abgekündigten PHP-Versionen muss geklärt werden, ob ein konkreter Anbieter noch Sicherheitskorrekturen liefert. Eine solche Sonderversorgung ist keine allgemeine PHP-Projektunterstützung. Ist kein verlässlicher Fix verfügbar, sollten Sie mit dem Betreiber eine vorübergehende Einschränkung der betroffenen Anwendung und den Wechsel auf eine unterstützte Umgebung prüfen. Eine alte, ungepatchte Installation ist kein geeigneter Dauer-Rückweg.

Warum PHP 8.5 ein sinnvolles Migrationsziel ist

PHP 8.5 ist eine stabile Versionsreihe. Laut offizieller Supportübersicht läuft der aktive Support bis zum 31. Dezember 2027, der anschließende Sicherheitssupport bis zum 31. Dezember 2029. PHP 8.2 erreicht dagegen am 31. Dezember 2026 das Ende des regulären Sicherheitssupports durch das PHP-Projekt. Das ist ein zusätzlicher Grund, ältere Umgebungen jetzt zu prüfen.

Ob Ihre Anwendung bereits auf PHP 8.5 laufen kann, entscheiden ihre konkreten Abhängigkeiten. Prüfen Sie die Freigaben für CMS oder Shop, Plugins, Themes, Frameworks und benötigte PHP-Erweiterungen. Ist eine Komponente noch nicht kompatibel, planen wir mit Ihnen eine unterstützte Zwischenlösung. Einen Wechsel erzwingen wir nicht durch das Ignorieren von Versionsanforderungen.

So bereiten wir die Migration mit Ihnen vor

• Bestandsprüfung: Anwendungsversionen, Erweiterungen, Datenbankverbindungen, PHP-Konfiguration und Hintergrundjobs dokumentieren. Daraus ergeben sich notwendige Anwendungsupdates und offene Kompatibilitätsfragen.
• Getrennte Testumgebung: Eine passende Kopie auf dem vorgesehenen, gepatchten PHP-8.5-Stand aufsetzen. Testzugriffe beschränken und echte Zahlungen oder ausgehende Kundennachrichten verhindern.
• Abhängigkeiten prüfen: Bei Composer-Projekten kann composer check-platform-reqs unter der Zielversion fehlende PHP- oder Erweiterungsanforderungen sichtbar machen. Diese Prüfung ergänzt Funktionstests; sie beweist nicht allein die vollständige Kompatibilität.
• Geschäftsabläufe testen: Anmeldung, Formulare, Dateiuploads, Suche, Warenkorb, Bestellabläufe, API-Anbindungen und geplante Aufgaben prüfen. Fehlerprotokolle und Laufzeiten mit dem bisherigen Stand vergleichen.
• Kontrolliert umschalten: Freigabe, Wartungsfenster, Datenabgleich und Rückfallkriterien festlegen. Nach dem Wechsel Webprozesse, Hintergrundjobs, Monitoring und Backups kontrollieren. Neue Daten müssen auch bei einem Rückfall berücksichtigt werden.

NUXOA unterstützt bei Updates und PHP-8.5-Migrationen

Sie betreiben eine ältere Website, einen Shop oder mehrere Kundenprojekte? Wir prüfen mit Ihnen den technischen Stand, planen die Zielumgebung und begleiten Tests und Umschaltung. Falls Änderungen am Anwendungscode oder an Erweiterungen nötig sind, stimmen wir diese mit Ihnen und den zuständigen Entwicklern ab. Umfang, Termin und Kosten legen wir anhand Ihrer Umgebung fest.

Für die erste Einschätzung genügen Anwendung und Version, aktueller PHP-Stand, Hosting-Panel beziehungsweise Serverumgebung und die wichtigsten Erweiterungen. Nutzen Sie den Kontaktlink „PHP-8.5-Migration anfragen“ unter diesem Beitrag. Zugangsdaten oder personenbezogene Kundendaten werden für diese erste Anfrage nicht benötigt.