Kritisches PHP-Sicherheitsupdate am 21. Oktober 2026: was Joomla-Betreiber jetzt tun sollten

Das PHP-Team hat für Mittwoch, den 21. Oktober 2026, um 14:00 Uhr UTC (16:00 Uhr deutscher Zeit) eine Sicherheitsversion angekündigt. Sie schließt zwei kritische Lücken, beide mit CVSS 9,2 bewertet. Joomla läuft auf PHP – jede Joomla-Website ist also betroffen, sobald ihre PHP-Version zu den betroffenen gehört. Was bisher feststeht und was Sie jetzt tun sollten.

Was bekannt ist (Stand 21. Oktober 2026, vormittags)

• Termin: 21. Oktober 2026, 14:00 Uhr UTC. Das PHP-Team behält sich vor, früher zu veröffentlichen, falls Details bekannt werden oder Angriffe auftauchen (php.net).
• Schwere: zwei Lücken, beide „kritisch“ mit CVSS v4.0 9,2.
• Details – welche Versionen betroffen sind, welche Funktionen und die korrigierten Versionen – veröffentlicht PHP erst mit dem Update.
• Vorsicht bei Gerüchten: Im Netz kursieren bereits CVE-Nummern und Angriffsszenarien. Bestätigt ist bisher nur die Ankündigung.

Welche PHP-Versionen noch Updates bekommen

Sicherheitsupdates gibt es nur für PHP 8.2 (bis 31. Dezember 2026), 8.3 (bis 31. Dezember 2027), 8.4 (bis 31. Dezember 2028) und 8.5 (bis 31. Dezember 2029) (php.net). Aktuell sind 8.2.34, 8.3.35, 8.4.26 und 8.5.11. PHP 8.1 und älter bekommen keine Korrektur – mehr dazu unten.

Was Sie jetzt tun sollten

1. PHP-Version nachsehen: im Joomla-Backend unter System → Systeminformationen, oder in der Verwaltung Ihres Hosters.
2. Hoster im Blick behalten: Auf üblichem Webhosting spielt der Hoster das PHP-Update ein. Prüfen Sie nach dem 21. Oktober, ob Ihre Version die neue Nummer trägt, und fragen Sie im Zweifel nach.
3. Eigener Server: Wer PHP selbst betreibt, plant das Update für den Nachmittag des 21. Oktober ein.
4. Danach kurz testen: Startseite, Formulare, Anmeldung im Backend. Zeigt die Website einen Fehler 500, hilft unser Beitrag Fehler 500 nach einem PHP-Update.

Joomla 3 auf altem PHP: keine Korrektur

Joomla 3 ist für PHP bis 8.0 gebaut, für 8.1 kamen nur einzelne Anpassungen. Diese PHP-Versionen bekommen keine Sicherheitsupdates mehr – auch nicht für die jetzt angekündigten Lücken. Viele Hoster bieten sie nur noch gegen Aufpreis an (was das kostet). Der dauerhafte Weg ist der Umstieg auf Joomla 6 mit einer aktuellen PHP-Version: Joomla 3 auf 6 Migration.

Und die Erweiterungen?

Ein aktuelles PHP hilft nicht gegen Lücken in Joomla-Erweiterungen. Davon gab es 2026 ungewöhnlich viele – die Liste mit allen betroffenen Versionen steht im Beitrag Sicherheitslücken in Joomla-Erweiterungen 2026.

Quellen: Ankündigung des PHP-Teams vom 20. Oktober 2026 auf php.net, unterstützte Versionen auf php.net. Stand: 21. Oktober 2026, vor dem Update. Wir ergänzen diesen Beitrag, sobald PHP die Details veröffentlicht hat.