Zwei neu bekannt gewordene, kritische Sicherheitslücken in PHP sorgen derzeit weltweit für erhebliche Sicherheitswarnungen. Da auch Joomla auf der Programmiersprache PHP basiert, sollten Betreiber von Joomla-Websites jetzt unbedingt prüfen, welche PHP-Version auf ihrem Webserver eingesetzt wird. Das PHP-Sicherheitsteam hat bereits Sicherheitsupdates veröffentlicht. Ein zeitnahes Update ist dringend zu empfehlen, denn die Schwachstellen können Angreifern unter bestimmten Voraussetzungen ermöglichen, Schadcode aus der Ferne auf einem betroffenen Server auszuführen.
Eine aktuelle Sicherheitswarnung betrifft derzeit einen wesentlichen Bestandteil zahlreicher Websites und Webanwendungen: die serverseitige Programmiersprache PHP. Am 21. Oktober 2026 wurden Sicherheitsupdates für zwei als kritisch eingestufte Schwachstellen veröffentlicht. Das PHP-Projekt bewertet beide Sicherheitslücken mit einem CVSS-Wert von 9,2 und empfiehlt allen Betreibern betroffener PHP-Installationen, unverzüglich zu aktualisieren.
Auch die Tagesschau berichtet über die gravierende PHP-Sicherheitslücke und die möglichen Folgen für Websites und Onlinedienste. Verschiedene Behörden, Kommunen, Universitäten und andere Einrichtungen haben Internetangebote vorsorglich vorübergehend abgeschaltet.
Für Betreiber von Joomla-Websites ist dabei eine wichtige Unterscheidung notwendig: Die aktuelle Sicherheitslücke befindet sich nicht im Joomla-CMS selbst, sondern in PHP. Da Joomla jedoch PHP zur Ausführung benötigt, können auch Joomla-Websites betroffen sein, wenn sie auf einer verwundbaren PHP-Version betrieben werden.
PHP gehört zu den wichtigsten serverseitigen Programmiersprachen für Websites und Webanwendungen. Auch zahlreiche Content-Management-Systeme wie Joomla, WordPress und Drupal nutzen PHP als technische Grundlage.
Entsprechend groß ist die Bedeutung der jetzt bekannt gewordenen Sicherheitsprobleme. Das PHP-Sicherheitsteam hat zwei Schwachstellen als kritisch eingestuft und kurzfristig Sicherheitsupdates bereitgestellt.
Nach Angaben des PHP-Projekts sind grundsätzlich PHP-Installationen relevant, die Webanfragen verarbeiten. Je nach Serverkonfiguration und eingesetzter PHP-Variante kann sich das konkrete Risiko unterscheiden.
Bei den beiden Sicherheitslücken handelt es sich um:
Beide Schwachstellen werden vom PHP-Sicherheitsteam mit einem CVSS-Wert von 9,2 und damit als kritisch eingestuft.
Besonders problematisch ist die Möglichkeit einer sogenannten Remote Code Execution (RCE). Unter bestimmten Voraussetzungen kann ein Angreifer dadurch eigenen Programmcode auf einem betroffenen Webserver ausführen, ohne sich zuvor authentifizieren zu müssen.
Im schlimmsten Fall kann eine erfolgreiche Ausnutzung dazu führen, dass Angreifer Kontrolle über Teile der Serverumgebung erhalten, Dateien manipulieren, Schadsoftware einschleusen oder eine Website für weitere Angriffe missbrauchen.
Das PHP-Projekt hat am 21. Oktober 2026 aktualisierte Versionen veröffentlicht, welche die beiden kritischen Schwachstellen schließen.
Das PHP-Sicherheitsteam weist ausdrücklich darauf hin, dass ein Update die sichere Lösung zur Behebung der Schwachstellen darstellt. Betreiber eigener Server sollten deshalb die bereitgestellten Sicherheitsupdates beziehungsweise die entsprechenden aktualisierten Pakete ihrer Linux-Distribution oder ihres Serveranbieters installieren.
Bei Webhosting-Paketen wird PHP häufig zentral durch den Hostinganbieter bereitgestellt. Betreiber einer Website sollten dennoch kontrollieren, welche PHP-Version tatsächlich für ihre Domain beziehungsweise Website aktiviert ist.
Wichtig ist zunächst: Joomla selbst ist nicht die Ursache der aktuellen Sicherheitslücke. Betroffen ist die darunterliegende PHP-Umgebung des Webservers.
Da das Joomla-CMS jedoch PHP benötigt, ist die Sicherheit der eingesetzten PHP-Version ein wichtiger Bestandteil der gesamten Joomla-Sicherheit.
Eine aktuelle Joomla-Version allein schützt deshalb nicht vor einer Sicherheitslücke innerhalb der PHP‑Laufzeitumgebung. Ebenso wichtig ist eine gepflegte Serverumgebung mit einer unterstützten und regelmäßig aktualisierten PHP-Version.
Zur Absicherung einer Joomla-Website gehören deshalb immer mehrere Ebenen: Joomla selbst, installierte Komponenten, Module und Plug-ins, Templates, Benutzerkonten, Passwörter, Serverkonfiguration und die eingesetzte PHP-Version.
Betreiber einer Joomla-Website sollten derzeit insbesondere kontrollieren, welche PHP-Version für ihre Website verwendet wird und ob der Hostinganbieter das aktuelle Sicherheitsupdate bereits eingespielt hat.
Wir empfehlen, folgende Punkte zu überprüfen:
Wer die PHP-Version nicht selbst verwaltet, sollte sich bei Unklarheiten an seinen Hostinganbieter oder technischen Administrator wenden.
Problematisch können vorwiegend Websites sein, die noch auf sehr alten PHP-Versionen betrieben werden. PHP 8.1 und ältere Versionen erhalten vom regulären PHP-Projekt keine normalen Sicherheitsupdates mehr. Einzelne Linux-Distributionen und Anbieter mit Langzeitunterstützung können zwar eigene zurückportierte Sicherheitskorrekturen bereitstellen, dies muss jedoch im konkreten Fall geprüft werden.
Auch PHP 8.2 nähert sich dem Ende seines offiziellen Lebenszyklus. Das PHP-Projekt weist darauf hin, dass PHP 8.2 nach dem 31. Dezember 2026 keine weiteren Sicherheitsupdates mehr erhalten wird.
Gerade ältere Joomla-Websites sollten deshalb nicht nur wegen der aktuellen Sicherheitslücke überprüft werden. Häufig sind auch Joomla selbst, Erweiterungen oder Templates technisch veraltet. In solchen Fällen kann eine Joomla-Migration auf eine aktuelle Version die sinnvollere langfristige Lösung darstellen.
Stellen Sie ungewöhnliche Veränderungen an Ihrer Joomla-Website fest, sollten diese nicht ignoriert werden. Typische Hinweise können unbekannte Dateien, Weiterleitungen auf fremde Websites, neue Administratorenkonten, unerklärliche Fehlermeldungen oder eine Warnung des Hostinganbieters sein.
In diesem Fall reicht es in der Regel nicht aus, lediglich die PHP-Version zu aktualisieren. Wurde ein Server oder eine Website bereits kompromittiert, muss geprüft werden, ob Angreifer Schadcode, Backdoors oder andere Manipulationen hinterlassen haben.
Mit unserer neuen Leistung zur Website-Wiederherstellung analysieren wir kompromittierte Joomla-Websites, entfernen Schadcode aus Dateien und Datenbank, überprüfen Benutzerkonten und Erweiterungen und stellen die Website anschließend wieder her.
Danach können zusätzliche Schutzmaßnahmen und eine technische Härtung der Joomla-Installation erfolgen.
Die aktuelle PHP-Sicherheitslücke zeigt erneut, dass die Sicherheit einer Website nicht allein vom eingesetzten Content-Management-System abhängt. Joomla, Erweiterungen und Serverumgebung müssen gemeinsam betrachtet und regelmäßig gepflegt werden.
Im Rahmen unserer Administration und Pflege von Joomla-Websites unterstützen wir bei der technischen Betreuung und Aktualisierung von Joomla-Installationen.
Auch ein zuverlässiges SSD-Webhosting mit einer gepflegten Serverumgebung ist eine wichtige Grundlage für den sicheren Betrieb moderner Websites.
Die Entwicklung ist aktuell und sollte insbesondere von Serveradministratoren und Website-Betreibern weiter beobachtet werden.
Stand dieser Meldung: 21. Oktober 2026.
Wenn Sie nicht wissen, welche PHP-Version Ihre Joomla-Website verwendet, Ihr Hostinganbieter eine Sicherheitswarnung ausgesprochen hat oder Sie verdächtige Veränderungen an Ihrer Website feststellen, sollten Sie zeitnah handeln.
Wir unterstützen Sie bei der technischen Prüfung Ihrer Joomla-Website und können eine kompromittierte Installation bei Bedarf vollständig analysieren und wiederherstellen.
Rufen Sie uns unter 0511 / 470 55 33 an oder nutzen Sie unser Kontaktformular.
