PHP – Kritische Schwachstellen bedrohen Webanwendungen weltweit!

PHP-Versionshinweis

Prüft die öffentlich gelieferten Header X-Powered-By und Server auf PHP-Versionsangaben.

Eine Versionsangabe ist eine unbestätigte Selbstauskunft: Sie kann fehlen, veraltet oder absichtlich verändert sein und von einem Proxy stammen. Sie beweist weder die tatsächlich eingesetzte PHP-Version noch den Sicherheitszustand. „Nicht ermittelbar“ bedeutet nicht, dass kein PHP verwendet wird.

Öffentlich nutzbar ohne Anmeldung. Zum Schutz des Servers ist insgesamt eine öffentliche Prüfung alle 10 Sekunden möglich; alle Besucher teilen sich dieses Limit.

Supporttabelle: Stand 22.10.2026, Quelle: PHP.net. Keine automatische Aktualisierung. Die Bewertung gilt nur, falls der gemeldete Versionshinweis zutrifft.

So funktioniert die Prüfung

Eine einzige serverseitige HEAD-Anfrage an die eingegebene URL; keine Suche nach phpinfo-Dateien, keine Scans, keine Cookies und keine Anmeldung. Manche Server liefern bei HEAD andere Header oder lehnen HEAD ab. Es gibt keinen GET-Fallback. Die Zielwebsite sieht die IP-Adresse Ihres WordPress-Servers und die angefragte URL. Das Plugin speichert keine URLs, Ergebnisse oder Besucher-IP-Adressen. Für die Anfragebegrenzung wird nur der Zeitpunkt der letzten öffentlichen Prüfung gespeichert; übliche Serverprotokolle können Anfragen erfassen.

Nur HTTP/80 und HTTPS/443 über geprüfte öffentliche IPv4-Adressen. IPv6 und Weiterleitungen werden nicht verwendet. Verbindungs-Timeout: 4 Sekunden; HTTP-Gesamt-Timeout: 10 Sekunden; maximal 32 KiB Header. Die vorgeschaltete DNS-Auflösung unterliegt den Zeitgrenzen des Betriebssystems und kann zusätzlich Zeit benötigen.

Kritische Sicherheitslücken in PHP: BSI warnt vor weltweiten Cyberangriffen

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) warnt vor kritischen Sicherheitslücken in der Programmiersprache PHP, die weltweit zahlreiche Webseiten und Webanwendungen gefährden können. Betroffen sind nach bisherigen Erkenntnissen PHP-Versionen bis mindestens PHP 5 zurück.

Besonders kritisch ist die Möglichkeit, dass Angreifer die Schwachstellen aus der Ferne ausnutzen könnten, um Schadcode auf betroffenen Webservern auszuführen. Dadurch besteht das Risiko, dass Webseiten manipuliert, vertrauliche Daten ausgespäht oder ganze Serversysteme kompromittiert werden.

Erhöhte Gefahr durch automatisierte Cyberangriffe

Das BSI rechnet damit, dass Cyberkriminelle die Sicherheitslücken innerhalb kürzester Zeit gezielt ausnutzen könnten. Mithilfe KI-gestützter Analysewerkzeuge lassen sich veröffentlichte Sicherheitsupdates untersuchen und möglicherweise innerhalb weniger Stunden funktionsfähige Angriffsmethoden entwickeln.

Da PHP unter anderem die technische Grundlage zahlreicher WordPress-Webseiten bildet, betrifft die Sicherheitswarnung potenziell auch Unternehmen, Arztpraxen, öffentliche Einrichtungen und private Webseitenbetreiber.

Sicherheitsupdates und sofortige Schutzmaßnahmen

Für den 21. Oktober 2026 um 16 Uhr deutscher Zeit wurde die Veröffentlichung entsprechender PHP-Sicherheitsupdates angekündigt.

Das BSI empfiehlt Webseitenbetreibern und IT-Verantwortlichen dringend:

Verfügbare Sicherheitsupdates unverzüglich installieren.
Die eingesetzte PHP-Version und ihren Sicherheitsstatus überprüfen.
Webserver und Anwendungen auf verdächtige Aktivitäten kontrollieren.
Nicht mehr unterstützte PHP-Versionen durch aktuelle, unterstützte Versionen ersetzen.
Die erfolgreiche Installation der Sicherheitsupdates anhand der offiziellen Herstellerinformationen überprüfen.

Fazit

Die Sicherheitswarnung des BSI sollte von allen Betreibern PHP-basierter Webseiten ernst genommen werden.Insbesondere öffentlich erreichbare Webserver können potenzielle Angriffsziele darstellen.

Bis zur vollständigen Überprüfung und Absicherung betroffener Systeme kann es im Einzelfall sinnvoll sein, gefährdete Webanwendungen vorübergehend vom Netz zu nehmen.

Quelle: Bundesamt für Sicherheit in der Informationstechnik (BSI), Sicherheitswarnung 2026