Kritisches PHP-Sicherheitsupdate am 21. Oktober 2026: was Joomla-Betreiber jetzt tun sollten

Das PHP-Team hat am 21. Oktober 2026 die Versionen 8.5.12, 8.4.27, 8.3.36 und 8.2.35 veröffentlicht. Sie schließen zwei kritische Lücken (CVE-2026-109618 und CVE-2026-109619, beide mit CVSS 9,2 bewertet), über die Angreifer ohne Anmeldung eigenen Code auf dem Server ausführen können. Joomla läuft auf PHP – jede Joomla-Website ist also betroffen, bis ihre PHP-Version aktualisiert ist. Was feststeht und was Sie jetzt tun sollten.

Was bekannt ist (Stand 22. Oktober 2026)

• Korrigierte Versionen: PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35, erschienen am 21. Oktober 2026 (php.net).
• Die Lücken: CVE-2026-109618 und CVE-2026-109619 erlauben das Ausführen von Code ohne Anmeldung.
• Wer gefährdet ist: laut PHP-Team jede Installation, die Webseiten ausliefert – PHP-FPM, Apache mit mod_php, php-cgi, FrankenPHP und LiteSpeed. Am höchsten schätzt es das Risiko bei mod_php ein.
• Nur das Update schützt: Einige Einstellungen erschweren einzelne Angriffswege, machen eine Installation aber nicht sicher.
• Hoster vorab versorgt: Linux-Distributionen und Anbieter mit Langzeit-Support haben die Korrekturen vorab erhalten. Gut möglich, dass Ihr Hoster schon aktualisiert hat.

Welche PHP-Versionen noch Updates bekommen

Sicherheitsupdates gibt es nur für PHP 8.2 (bis 31. Dezember 2026), 8.3 (bis 31. Dezember 2027), 8.4 (bis 31. Dezember 2028) und 8.5 (bis 31. Dezember 2029) (php.net). PHP 8.1 und älter bekommen vom PHP-Projekt keine Updates mehr. Wegen der Schwere der Lücken hat das PHP-Team für 7.4, 8.0 und 8.1 minimale Korrekturen als Quelltext bereitgestellt, und manche Distributionen spielen solche Korrekturen nach. Ob Ihr Hoster das tut, erfahren Sie nur bei ihm.

Was Sie jetzt tun sollten

1. PHP-Version nachsehen: im Joomla-Backend unter System → Systeminformationen. Sicher sind 8.2.35, 8.3.36, 8.4.27, 8.5.12 oder neuer.
2. Beim Hoster nachfragen, wenn dort eine ältere Nummer steht. Auf üblichem Webhosting spielt der Hoster das PHP-Update ein; die Nummer in Joomla zeigt, ob es angekommen ist.
3. Eigener Server: auf die korrigierte Version aktualisieren und alle PHP-Prozesse neu starten.
4. Danach kurz testen: Startseite, Formulare, Anmeldung im Backend. Zeigt die Website einen Fehler 500, hilft unser Beitrag Fehler 500 nach einem PHP-Update.

Joomla 3 auf altem PHP

Joomla 3 ist für PHP bis 8.0 gebaut, für 8.1 kamen nur einzelne Anpassungen. Diese PHP-Versionen bekommen vom PHP-Projekt keine Updates mehr – geschützt ist eine solche Website nur, wenn der Hoster die Korrekturen selbst nachspielt. Viele Hoster bieten alte Versionen ohnehin nur noch gegen Aufpreis an (was das kostet). Der dauerhafte Weg ist der Umstieg auf Joomla 6 mit einer aktuellen PHP-Version: Joomla 3 auf 6 Migration.

Und YOOtheme Pro?

Am selben Tag erschien ein kritisches Update für YOOtheme Pro 5. Das ist eine eigene Lücke, die ein PHP-Update nicht schließt – und umgekehrt. Alles dazu im Beitrag YOOtheme Pro 5: kritische Sicherheitslücke schon vor dem Update angegriffen. Lücken in weiteren Erweiterungen stehen in der Liste Sicherheitslücken in Joomla-Erweiterungen 2026.

Quellen: Sicherheitsmeldung und Versionshinweise des PHP-Teams vom 21. Oktober 2026 auf php.net, unterstützte Versionen auf php.net. Stand: 22. Oktober 2026.