Kritische PHP-Lücke: So schließt du sie mit Claude Code
Am 21. Oktober hat PHP zwei kritische Sicherheitslücken geschlossen. Was genau kaputt war, wer betroffen ist und wie Claude Code dir beim Update hilft. Mit Prompt zum Kopieren.
Was ist passiert?
Am 21. Oktober 2026 hat das PHP-Team zwei kritische Sicherheitslücken geschlossen: CVE-2026-109618 und CVE-2026-109619, beide mit 9,2 von 10 Punkten bewertet. Über beide Lücken kann ein Angreifer ohne Anmeldung eigenen Code auf dem Server ausführen.
Am größten ist das Risiko laut PHP bei Apache mit mod_php: Dort gibt es einen gezeigten Angriff, der greift, bevor der Code deiner Website überhaupt läuft.
Was genau ist kaputt?
- → Speicher voll: Wird PHP der Speicher knapp, bricht es mitten in einer Anfrage ab. Beim Aufräumen hält es die halb fertigen Daten danach für gültig.
- → Alte Reste: Interne Daten einer Anfrage bleiben liegen, obwohl ihr Speicher schon freigegeben ist. Die nächste Anfrage im selben Prozess benutzt sie, bevor sie zurückgesetzt werden.
Bin ich betroffen?
- → Betroffen ist jede PHP-Installation, die Webanfragen beantwortet: PHP-FPM, Apache mit mod_php, php-cgi, FrankenPHP und LiteSpeed. Also auch WordPress, viele Shops und Foren.
- → Sicher sind PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35 oder neuer.
- → Bei Paketen von Ubuntu oder Debian bleibt die Versionsnummer oft alt, obwohl die Lücke geschlossen ist. Dann zählt, ob die beiden CVE-Nummern im Changelog des Pakets stehen.
- → PHP 8.1 und älter bekommt vom PHP-Team keine Updates mehr. Manche Distributionen liefern trotzdem Korrekturen nach.
Webhosting oder eigener Server?
Hast du normales Webhosting, kümmert sich meist dein Anbieter um das Update. Ob es schon eingespielt ist, steht oft auf seiner Statusseite, sonst hilft eine kurze Frage an den Support.
Hast du einen eigenen Server, zum Beispiel einen Cloud-Server, VPS oder Dedicated Server, musst du das Update selbst einspielen.
So behebst du es mit Claude Code
- 1Öffne ein Terminal auf deinem Server und starte Claude Code. Läuft Claude Code auf deinem Rechner, sag ihm dazu, wie es per SSH auf den Server kommt.
- 2Füge den Prompt unten ein.
- 3Lies Ergebnis und Plan, bevor du zustimmst, und gib jeden Befehl einzeln frei.
- 4Prüf am Ende selbst, ob deine Website läuft.
Wichtig
- → Nur ein Update schützt wirklich. Die Notlösungen von PHP verkleinern das Risiko nur.
- → Behalte deinen Server danach im Blick und achte auf verdächtige Aktivitäten, etwa unbekannte Prozesse oder neue Dateien.
- → Gib Befehle mit sudo nur frei, wenn du verstehst, was sie tun.
Prompt für Claude Code
Prüf meinen Server auf die PHP-Lücken CVE-2026-109618 und CVE-2026-109619 (Sicherheitsupdate vom 21.10.2026) und schließ sie: 1. Nur lesen: Welche PHP-Versionen laufen (CLI, PHP-FPM, Apache, Docker), welches System, woher kommt PHP? 2. Sicher sind PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35. Bei Distributionspaketen bleibt die Nummer oft alt – dann such die CVE-Nummern im Changelog des Pakets. 3. Zeig mir Ergebnis und Plan, bevor du etwas änderst. 4. Sichere die PHP-Konfiguration. Spiel nur die PHP-Updates ein, kein komplettes System-Upgrade. Frag vor jedem Befehl, der etwas ändert. 5. Starte PHP-FPM bzw. den Webserver neu und prüf, ob die Website läuft und die neue Version aktiv ist. 6. Gibt es kein Update (z. B. PHP 8.1 und älter), sag es mir und nenn die Notlösungen aus php.net/archive/2026.php – nur ein Update schützt wirklich.
Quellen
KI in deinem Business?
Ich richte KI-Abläufe für Selbstständige und kleine Teams ein. Das Erstgespräch ist kostenlos.
Zum Angebot →KI zum Ausprobieren
Zum Beispiel CookGen: Rezepte aus deinen Zutaten, in Sekunden mit KI.
Meine Apps →