CloudCoursePHP FIXEine Initiative von CloudCourse
Serverracks als Symbol für die PHP-Infrastruktur hinter Ihrer Website
PHP2Shell · Sicherheitsupdates verfügbar

PHP-Sicherheitslücke?
Wir kümmern uns
um den Fix.

Ihre Website soll funktionieren. Und sicher bleiben. Wir unterstützen Schweizer KMU beim PHP-Sicherheitsupdate und beheben die Probleme, die dabei an CMS, Shops und Anwendungen sichtbar werden.

Quickfix für pauschal CHF 595.00 Was ist passiert?

WordPress · TYPO3 · Joomla · Shopware · Laravel · Symfony

PHP reparieren. Betrieb absichern. Weiterarbeiten.Mehr erfahren
Für Schweizer KMU

CMS & Websites Onlineshops Frameworks & APIs Bestehende PHP-Anwendungen

01 / Das Problem verstehen

PHP2Shell: Was hinter den
beiden PHP-CVEs steckt.

Ein Fehler in der PHP-Laufzeit kann bis zur Ausführung fremden Codes führen. Entscheidend ist deshalb auch die Serverumgebung hinter Ihrer Website.

CVE-2026-109618Kritisch

Wenn Speichermangel zum Sicherheitsproblem wird.

Bei einem Out-of-Memory-Fehler kann PHP einen internen Arbeitsschritt abbrechen, obwohl Daten einer Anfrage noch unvollständig initialisiert sind. Die spätere Aufräumroutine verarbeitet dann möglicherweise ungültige Speicherinhalte. Daraus kann Remote Code Execution entstehen – also die Ausführung von Code auf dem Server.

Was der Patch ändert

Die Fehlerbehandlung bei Speichermangel wird umgebaut: kontrollierter Abbruch an einem sicheren Ausführungspunkt oder unmittelbares Beenden bei einem harten Speicherfehler. So soll die Aufräumroutine keinen ungültigen Zustand mehr verarbeiten.

Technisches Advisory des PHP-Projekts
CVE-2026-109619Kritisch

Wenn eine neue Anfrage alten Speicher verwendet.

Ein PHP-Worker kann internen Zustand einer früheren Anfrage behalten, obwohl der zugehörige Speicher bereits freigegeben wurde. Greift eine nachfolgende Anfrage vor der regulären Initialisierung darauf zu, entsteht ein Use-after-free. Auch dieser Fehler kann zur Ausführung fremden Codes führen.

Was der Patch ändert

Die Korrekturen setzen an der Lebensdauer und Bereinigung dieses internen Zustands an. Referenzen auf Daten einer beendeten Anfrage dürfen beim nächsten Request nicht weiterverwendet werden.

Technisches Advisory des PHP-Projekts

Ein CMS-Update allein schliesst diese PHP-Lücken nicht. Die Korrektur muss in der PHP-Laufzeit ankommen, die Ihre Webanfragen tatsächlich verarbeitet. Ein aktuelles WordPress auf einem ungepatchten PHP-Server reicht dafür nicht aus.

Nahaufnahme von Quellcode auf einem Monitor
Der Handlungsbedarf beginnt unterhalb Ihrer Anwendung.

Was das für Sie bedeutet

Eine laufende Website ist
noch kein Patch-Nachweis.

Die PHP-Warnung betrifft Webserver mit PHP-FPM, Apache mod_php, CGI, FrankenPHP und LiteSpeed. Das nachgewiesene Risiko ist bei mod_php besonders hoch; die konkrete Ausnutzbarkeit hängt von Version und Konfiguration ab. Prüfen und aktualisieren sollten Betreiber auch andere PHP-Webumgebungen. Quelle: PHP-Sicherheitshinweis.

  • Beim Hoster: Patch-Status der tatsächlich genutzten PHP-Version bestätigen lassen.
  • Auf dem eigenen Server: Pakete, PHP-Pools und zusätzliche Installationen erfassen.
  • In Containern: Basisimage aktualisieren, Image neu bauen und laufende Instanzen ersetzen.

Die Meldung bedeutet nicht, dass Ihre Website bereits kompromittiert wurde. Einen Verdacht auf einen Einbruch untersuchen wir getrennt vom Update.

02 / Die Sicherheitsupdates

Welche PHP-Versionen
enthalten den Fix?

Diese Sicherheitsreleases wurden am 21. Oktober 2026 veröffentlicht. Nutzen Sie den jeweils aktuellen unterstützten und behobenen Stand Ihres Anbieters.

Erste PHP-Sicherheitsreleases mit Fixes für beide CVEs
PHP-ZweigBehoben abNächster Schritt
PHP 8.58.5.12Security-Update einspielen
PHP 8.48.4.27Security-Update einspielen
PHP 8.38.3.36Security-Update einspielen
PHP 8.28.2.35Security-Update einspielen

Quelle: offizielle PHP-Veröffentlichung vom 21.10.2026. Distributoren können die Fixes zurückportieren; dann zählt der Paket- und Sicherheitsnachweis des Anbieters, nicht allein die sichtbare PHP-Versionsnummer.

01

PHP aktualisieren

Ein Hosting-Paket, ein Serverpaket oder ein Containerimage mit den vollständigen Sicherheitskorrekturen verwenden.

02

Aktive Worker ersetzen

Die betroffenen PHP-Prozesse neu starten oder Container neu erstellen, damit die korrigierte Laufzeit aktiv wird.

03

Den Webbetrieb prüfen

Web-SAPI, Versions- beziehungsweise Paketnachweis und die relevanten Website-Funktionen kontrollieren. CLI-PHP kann ein anderes sein.

Den Fix richtig ausrollen

Gleiche Sicherheitslücke.
Unterschiedliche Betriebsumgebungen.

Das passende Vorgehen hängt davon ab, wer Ihre PHP-Laufzeit bereitstellt. Wir helfen Ihnen, den verantwortlichen Bereich zu finden und die Änderung bis zur aktiven Website zu begleiten.

Webhosting & Managed Server

Ob Hostpoint, Infomaniak, cyon oder ein anderer Anbieter: Im Hosting-Panel lässt sich oft eine PHP-Version auswählen. Ob diese den Sicherheitsfix tatsächlich enthält, muss der Anbieter bestätigen. Klären Sie, ob alle Domains, Subdomains und zusätzlichen PHP-Installationen erfasst sind.

Wir unterstützen die Abstimmung mit dem Hoster und prüfen, ob Ihre Anwendung den angebotenen PHP-Zweig unterstützt. Wenn ein altes CMS den Wechsel verhindert, planen wir die nötigen Anpassungen mit Ihnen.

Linux-Server & PHP-FPM

Bei selbst verwalteten Servern müssen die verwendeten Paketquellen und alle laufenden PHP-Varianten bekannt sein. Ein System kann mehrere PHP-Versionen und FPM-Pools parallel betreiben. Eine aktualisierte CLI-Installation sagt noch nichts über den Pool Ihrer Website aus.

Wir ordnen Pakete und Webserver-Zuordnung zu, stimmen den Neustart ab und dokumentieren den wirksamen Stand. Dasselbe gilt für eine Apache-Installation mit mod_php.

Docker & Container-Plattformen

Ein aktualisiertes PHP-Paket auf dem Host ändert die Laufzeit in einem bereits gebauten Container nicht. Benötigt wird ein korrigiertes Basisimage beziehungsweise ein aktualisiertes Anwendungsimage. Dieses wird gebaut, veröffentlicht und auf der Zielumgebung neu gestartet.

Wir berücksichtigen dabei auch Worker und zusätzliche Replikate. Ein zurückgerolltes Image kann den alten verwundbaren Stand erneut aktivieren; deshalb gehört der Patch-Nachweis auch zum Release-Prozess.

Unsicher, wer für Ihr PHP zuständig ist? Schicken Sie uns zunächst Domain, Hoster und das bekannte System. Wir klären mit Ihnen, ob die Aufgabe beim Hosting, am Server, am Containerimage oder zusätzlich im Anwendungscode liegt.

Keine falsche Entwarnung

Ein Workaround
ist noch kein Fix.

Ein WAF-Regelsatz, das Verstecken von Fehlermeldungen oder ein Plugin-Update ersetzt das PHP-Sicherheitsupdate nicht. Die PHP-Hinweise nennen Übergangsmassnahmen für einzelne Angriffspfade; eine vollständige Lösung ist nur das Update.

Wir prüfen im Einzelfall, wie sich die Angriffsfläche bis zur Aktualisierung begrenzen lässt. Pauschale Änderungen an Speicherlimits können andere Probleme auslösen und gehören nicht ungeprüft auf einen Produktivserver.

Offizielle Hinweise zu Updates und Übergangsmassnahmen

03 / Ihre Website. Ihr Stack.

PHP-Fix für CMS, Shops
und gewachsene Anwendungen.

Der Runtime-Patch ist der Anfang. Wenn ein notwendiger PHP-Wechsel die Website lahmlegt, kümmern wir uns auch um die Kompatibilität von Anwendung, Erweiterungen und eigenem Code.

Entwicklungsarbeitsplatz mit Laptop und externem Monitor
Content-Management

WordPress, TYPO3
& Joomla reparieren

PHP-Update blockiert? Weisse Seite, Fatal Error oder ein kaputtes Backend? Wir suchen die Ursache in Plugins, Themes, Extensions und eigenem Code und planen die passende Aktualisierung.

  • WordPress & WooCommerce: Themes, Plugins, Formulare und Checkout.
  • TYPO3: Extensions, Composer-Abhängigkeiten und projektspezifische Anpassungen.
  • Joomla: Komponenten, Module und Templates.
  • Drupal & Contao: Module, Bundles und Erweiterungen.
Hände bei der Arbeit an einer Webanwendung auf einem Laptop
E-Commerce

Shops aktualisieren.
Bestellungen ermöglichen.

Ein PHP-Update betrifft im Shop oft mehr als die Startseite. Wir stimmen den Wechsel auf den Betrieb ab und betrachten die kritischen Abläufe Ihrer Installation.

  • Shopware: Plugins, Storefront, Administration und Schnittstellen.
  • Magento / Adobe Commerce: Module, Cronjobs und Integrationen.
  • PrestaShop & OpenCart: Erweiterungen, Templates und Warenkorb.
  • WooCommerce: Zahlung (etwa TWINT oder PostFinance), Versand und Produktfunktionen.
Quellcode einer Softwareanwendung auf einem Bildschirm
Software & Schnittstellen

PHP-Anwendungen
wieder lauffähig machen.

Für interne Tools, Kundenportale und APIs prüfen wir PHP-Anforderungen, Extensions und Bibliotheken. So wird aus dem dringenden Security-Update ein nachvollziehbarer technischer Schritt.

  • Composer-Abhängigkeiten und Plattformanforderungen einordnen.
  • Veraltete PHP-Funktionen und Typfehler beheben.
  • Queue-Worker, CLI-Jobs und Webanwendung gemeinsam berücksichtigen.
  • Server-, Container- und Deployment-Konfiguration abstimmen.

Gängige PHP-Frameworks

Auch hinter der Oberfläche
kennen wir den Weg.

Framework und PHP-Laufzeit haben jeweils eigene Versionsanforderungen. Ein Framework-Update ersetzt keinen Runtime-Patch; ein PHP-Wechsel muss wiederum zu Ihrer Anwendung passen.

Laravel
Webanwendungen, APIs, Artisan-Jobs und Queue-Worker.
Symfony
Bundles, Komponenten, Konsolenbefehle und Messenger-Worker.
Laminas & Mezzio
Modulare Anwendungen und Middleware, auch aus dem Zend-Umfeld.
CakePHP & CodeIgniter
Bestehende MVC-Webanwendungen und eigene Erweiterungen.
Yii & Slim
Webanwendungen, schlanke APIs und HTTP-Middleware.
Eigener PHP-Code
Gewachsene Portale und Fachanwendungen ohne aktuelles Framework.

Die genannten Systeme sind Beispiele für PHP-basierte Software. Daraus folgt keine pauschale Aussage, dass jede einzelne Installation ausnutzbar ist. Produkt- und Markennamen gehören den jeweiligen Rechteinhabern.

Entwickler an mehreren Arbeitsplätzen, Symbolbild für technische Zusammenarbeit

Von der PHP-Laufzeit bis zur Anwendung

Damit der Fix nicht
an der nächsten
Fehlermeldung endet.

04 / So helfen wir weiter

Klarer Ablauf.
Nachvollziehbare Änderungen.

Wir stimmen Umfang und Vorgehen mit Ihnen ab. Ob Sie nur Unterstützung beim PHP-Update brauchen oder eine ausgefallene Website wiederherstellen lassen möchten.

  1. 01

    Situation aufnehmen

    Welche Domain, welches Hosting, welches CMS und welche PHP-Umgebung? Wir klären den Handlungsbedarf und die Zuständigkeit mit Ihnen und allenfalls Ihrem Hoster.

  2. 02

    Änderung absichern

    Backup, Wiederherstellbarkeit und ein sinnvoller Rückweg werden vor der Umstellung betrachtet. Bei einem Einbruchsverdacht sichern wir relevante Spuren, bevor Bereinigungsarbeiten beginnen.

  3. 03

    PHP patchen und Kompatibilität herstellen

    Wir bringen die Laufzeit auf den passenden behobenen Stand und bearbeiten die nötigen Anpassungen an CMS, Extensions oder Anwendung. Alte PHP-Worker werden kontrolliert ersetzt.

  4. 04

    Die wichtigen Abläufe kontrollieren

    Wir vereinbaren, was für Ihren Betrieb zählt: etwa Login, Redaktion, Formulare, Shop-Checkout, Schnittstellen oder Hintergrundjobs. Ein erreichbarer HTTP-Port allein reicht dafür nicht.

  5. 05

    Stand dokumentieren und Wartung planen

    Sie erhalten einen Überblick über Änderungen, Patch-Nachweise und verbleibende Aufgaben. Auf Wunsch besprechen wir einen Pflegeprozess für kommende Sicherheitsupdates.

CloudCourse GmbH / Für die Schweiz

PHP-Probleme brauchen
mehr als ein Update-Klick.

Wir verbinden Softwareentwicklung mit Infrastruktur und Betrieb. Genau dort liegen die Schnittstellen, an denen PHP-Updates häufig hängen bleiben.

Wir sprechen mit Ihrer Redaktion über ein nicht erreichbares Backend, mit Ihrem Hoster über die PHP-Version und mit Ihrem Entwicklungsteam über den Code. Sie bekommen eine technische Einordnung und ein abgestimmtes Vorgehen für Ihr System – remote, für KMU in der ganzen Deutschschweiz.

Anwendung & ServerDie gesamte PHP-Umgebung im Blick.
Konkrete nächste SchritteVerständliche Empfehlungen statt pauschaler Pakete.
Direkter KontaktEin Anliegen, ein gemeinsames Vorgehen.
Mehr über CloudCourse
Menschen bei der gemeinsamen Arbeit mit Laptops
Technische Zusammenarbeit – Symbolbild, keine Teamaufnahme.

05 / Häufige Fragen

PHP-Fix.
Verständlich erklärt.

Von der Sicherheitsmeldung bis zur wieder laufenden Website.

Ihre Situation besprechen
Was ist PHP2Shell?

PHP2Shell bezeichnet die gemeinsam veröffentlichten kritischen PHP-Sicherheitslücken CVE-2026-109618 und CVE-2026-109619. Sie betreffen die Laufzeit auf dem Server und können unter passenden Bedingungen zur Ausführung fremden Codes führen. Die technischen Einzelheiten und Quellen finden Sie oben auf dieser Seite.

Reicht ein WordPress-, TYPO3- oder Joomla-Update?

Für diese beiden CVEs muss PHP selbst korrigiert sein. Zusätzlich können CMS- und Erweiterungsupdates notwendig werden, um eine unterstützte PHP-Version einzusetzen. Wir betrachten beide Ebenen gemeinsam.

Warum funktioniert meine Website nach dem PHP-Update nicht mehr?

Ein älteres Plugin, Theme, eine Extension oder eigener Code kann mit der neuen PHP-Version inkompatibel sein. Auch fehlende PHP-Extensions oder eine abweichende Serverkonfiguration kommen infrage. Wir analysieren Fehlermeldungen und Logs und beheben die konkrete Ursache.

Kann mein Hoster das PHP-Sicherheitsupdate übernehmen?

Bei verwaltetem Hosting ist der Anbieter häufig für die PHP-Pakete verantwortlich. Lassen Sie sich den Patch-Status Ihrer tatsächlich aktiven Webumgebung bestätigen. Wir unterstützen die Abstimmung und kümmern uns um notwendige Anpassungen an Ihrer Anwendung.

Kann ich den PHP-Patch nur mit php -v prüfen?

Das Kommando zeigt die PHP-Version der Kommandozeile. Ihre Website kann aber über einen anderen FPM-Pool, eine andere Serverinstallation oder einen Container laufen. Entscheidend sind die tatsächlich verwendete Web-Laufzeit und der zugehörige Paket- oder Patch-Nachweis. Eine öffentliche phpinfo-Seite sollte dafür nicht dauerhaft eingerichtet werden.

Helft Ihr auch bei Laravel, Symfony und eigenem PHP-Code?

Ja. Wir prüfen Laufzeit, Bibliotheken, PHP-Extensions und die Anforderungen Ihrer Anwendung. Dazu können auch APIs, Composer-Abhängigkeiten, Queue-Worker und zeitgesteuerte Jobs gehören. Den konkreten Umfang stimmen wir anhand Ihres Projekts ab.

Ist meine Website bereits gehackt worden?

Aus einer verwundbaren Version allein lässt sich kein erfolgreicher Einbruch ableiten. Bei verdächtigen Dateien, unbekannten Administratoren, Weiterleitungen oder ungewöhnlichen Zugriffen sollte die Situation gesondert untersucht werden. Ein Patch entfernt keine bereits eingeschleuste Schadsoftware.

Was kostet die Reparatur einer PHP-Website?

Der PHP-Quickfix kostet pauschal CHF 595.00, sofern keine grösseren Abhängigkeiten oder veraltete Software auf dem System vorliegen. Gibt es solche Abhängigkeiten oder veraltete Software, melden wir uns vor Aufnahme der Tätigkeit zurück und unterbreiten eine individuelle Offerte. Die Beauftragung stimmen wir anschliessend mit Ihnen ab.

Welche Informationen braucht Ihr für die erste Anfrage?

Im Quickfix-Formular erfassen wir Ansprechperson, E-Mail-Adresse, Telefonnummer, Rechnungsadresse, Server-IP, SSH-Port und eine kurze Beschreibung von Betriebssystem und installierter Software. Dort können Sie auch einen sudo- oder root-Benutzer und ein temporäres Passwort verschlüsselt übermitteln. Senden Sie Zugangsdaten bitte nicht im Klartext per E-Mail oder im allgemeinen Kontaktformular.

Ihr direkter Weg zum PHP-Fix

PHP-Quickfix.
Ein klarer Preis.

Wir beheben das beschriebene PHP-Sicherheitsproblem auf Ihrem Server für pauschal CHF 595.00, sofern keine grösseren Abhängigkeiten oder veraltete Software auf dem System vorliegen.

Sollten wir grössere Abhängigkeiten oder veraltete Software feststellen, melden wir uns vor Aufnahme der Tätigkeit bei Ihnen zurück und unterbreiten eine individuelle Offerte.

Hinterlassen Sie Ihre Kontaktdaten, Rechnungsadresse und Angaben zum Server. Wir prüfen zunächst die Voraussetzungen und stimmen die Beauftragung mit Ihnen ab.

01 / Ansprechperson & Rückmeldung
02 / Rechnungsadresse
03 / Ihr Server
04 / Temporärer Serverzugang

Tragen Sie einen Benutzer mit sudo-Rechten oder root sowie ein ausschliesslich für diese Bearbeitung vorgesehenes temporäres Passwort ein. Die Zugangsdaten werden im Browser verschlüsselt und als zeitlich begrenzter Einmallink übermittelt. Ändern oder widerrufen Sie den Zugang nach Abschluss.

Mit dem Absenden stellen Sie eine Anfrage. Die Beauftragung stimmen wir anschliessend mit Ihnen ab. Informationen zum Umgang mit Ihren Daten finden Sie in unserer Datenschutzerklärung; es gelten unsere AGB.

Rückfragen an php-fix@cloudcourse.de

Das Formular wird vorbereitet …

Der nächste Schritt

Ihre PHP-Website
braucht Unterstützung?
Lassen Sie uns sprechen.

Nutzen Sie unser Quickfix-Formular für die direkte Anfrage oder schreiben Sie an php-fix@cloudcourse.de. Bei allgemeinen Fragen erreichen Sie uns auch über das CloudCourse-Kontaktformular.

Zum Quickfix-Formular

Für allgemeine Anfragen steht zusätzlich das CloudCourse-Kontaktformular zur Verfügung.

Fachliche Quellen & Stand

Veröffentlichung der PHP-Sicherheitsupdates: 21.10.2026. Redaktioneller Stand: 22.10.2026. Die Angaben ersetzen keine Prüfung Ihrer konkreten Installation.