Web & Design
PHP-Sicherheitswarnung: Was das für unsere Kunden bedeutet
Die aktuelle PHP-Warnung kurz erklärt: unsere Einordnung für Lovable und Webflow und was Betreiber von WordPress, TYPO3 und anderen PHP-Systemen jetzt tun sollten.
Kurzantwort
Das BSI warnt vor zwei kritischen PHP-Sicherheitslücken, für die Sicherheitsupdates bereitstehen. Für unsere üblichen Lovable-Anwendungen ohne PHP und regulär bei Webflow gehostete Websites sehen wir keinen direkten eigenen PHP-Updatebedarf. Wer WordPress, TYPO3 oder andere PHP-Systeme betreibt, sollte den Update-Status umgehend beim Hoster prüfen lassen. Externe Zusatzdienste müssen unabhängig von der Hauptwebsite beurteilt werden.
Stand: 22. Oktober 2026. Mit dieser Nachricht möchten wir dir kurz erklären, was hinter der aktuellen PHP-Sicherheitswarnung steckt und was sie für deine Website bedeutet.
Was ist passiert?
Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat am 21. Oktober vor zwei kritischen Sicherheitslücken in PHP gewarnt. PHP ist eine Technik, auf der viele Websites und Shops laufen. Unter bestimmten Bedingungen könnten Angreifer die Lücken nutzen, um unerlaubt auf einem Server eigenen Code auszuführen. Sicherheitsupdates stehen bereit und sollten bei betroffenen Installationen umgehend eingespielt werden. Die Warnung bedeutet nicht, dass jede Website bereits angegriffen wurde. [1] [2]
Was bedeutet das für unsere Kunden mit Lovable?
Als Lovable Partner entwickeln wir Websites und Webapps mit Lovable. Bei unserem üblichen Anwendungsaufbau kommt kein PHP zum Einsatz. Auch unsere eigene Maluure-Website läuft ohne PHP. Für diesen Aufbau ergibt sich aus der aktuellen Warnung nach unserer Einschätzung kein direkter Bedarf für ein eigenes PHP-Update. [8]
Das bezieht sich auf die jeweilige Anwendung, nicht auf eine pauschale Sicherheitsgarantie für den Plattformanbieter. Ein zusätzlich angeschlossener WordPress-Blog, ein eigener Shop oder ein anderer externer Dienst kann unabhängig davon PHP verwenden und muss separat beurteilt werden.
Und für unsere Kunden mit Webflow?
Als zertifizierte Webflow-Experten betreuen wir auch Websites auf Webflow. Bei einer regulär dort gehosteten Website musst du selbst keine PHP-Installation pflegen. Webflow unterstützt in den eigenen Codebereichen kein serverseitiges PHP. Deshalb sehen wir für diese Websites durch die gemeldeten Lücken ebenfalls keinen direkten eigenen PHP-Updatebedarf. [7]
Auch hier gilt: Externe Buchungssysteme, Shops und separat gehostete Anwendungen sind eigenständige Systeme. Unsere Einordnung ersetzt keine Prüfung dieser Zusatzdienste und ist keine umfassende Entwarnung für sämtliche Systeme von Webflow.
Kernaussage
Für unsere üblichen Lovable-Anwendungen ohne PHP und regulär bei Webflow gehostete Websites sehen wir keinen direkten eigenen PHP-Updatebedarf. Ob zusätzliche Dienste betroffen sind, hängt von deren Technik und Betreiber ab.
WordPress, TYPO3 und andere PHP-Systeme: jetzt prüfen lassen
WordPress, TYPO3 und vergleichbare PHP-Systeme betreuen wir nur selten. Falls du eine solche Website betreibst, ist die Warnung trotzdem wichtig: Lass deinen Hoster oder zuständigen IT-Dienstleister umgehend prüfen, ob die Sicherheitsupdates installiert sind. Nicht jede Installation ist automatisch verwundbar, aber ungepatchte PHP-Systeme erfordern dringendes Handeln. [2] [5]
| System | Was jetzt wichtig ist |
|---|---|
| WordPress, einschließlich WooCommerce | PHP beim Hoster prüfen und bei Bedarf aktualisieren lassen. Ein WordPress- oder Plugin-Update allein reicht nicht. |
| TYPO3, Drupal, Joomla und andere PHP-Anwendungen | PHP-Sicherheitsupdates mit dem zuständigen Betreiber klären. |
| Selbst gehostetes Matomo | Auch die PHP-Installation des Analysesystems prüfen, nicht nur die Hauptwebsite. |
WordPress weist ausdrücklich darauf hin, dass diese Lücken in PHP liegen, nicht in WordPress selbst. Matomo fordert bei selbst gehosteten Installationen ebenfalls ein PHP-Update. [5] [6]
Was kannst du jetzt konkret tun?
- System klären: Läuft deine Website auf Lovable, Webflow oder einem PHP-System? Gibt es zusätzliche Shops, Blogs oder andere Dienste?
- Bei PHP den Betreiber kontaktieren: Bitte um Bestätigung, dass die beiden gemeldeten Lücken geschlossen sind.
- Bei Unsicherheit bei uns melden: Wir helfen dir, deine Website einzuordnen und den richtigen Ansprechpartner zu finden.
Diese kurze Nachricht kannst du an deinen Hoster schicken: „Bitte prüft, ob unsere Website und weitere PHP-Anwendungen gegen CVE-2026-109618 und CVE-2026-109619 abgesichert sind, und bestätigt uns den Update-Status.“
Bei einer Sicherheitswarnung zählt die konkrete Installation: Welche Technik läuft dort, wer ist zuständig und ist der Patch nachweislich aktiv?
Du weißt nicht sicher, welches System deine Website nutzt? Melde dich bei uns. Mehr zur laufenden Pflege findest du in unserem Beitrag über Website-Wartung und Zuständigkeiten.
Häufige Fragen
Was bedeutet die PHP-Sicherheitswarnung für meine Website?+
Entscheidend ist, ob deine Website oder ein Zusatzdienst eine betroffene PHP-Installation nutzt. Der Hoster sollte den Update-Status umgehend prüfen.
Muss ich bei einer Lovable-Website handeln?+
Für unseren üblichen Anwendungsaufbau ohne PHP sehen wir keinen direkten eigenen PHP-Updatebedarf. Separat angeschlossene PHP-Dienste müssen unabhängig davon geprüft werden.
Ist bei einer Webflow-Website ein PHP-Update nötig?+
Bei einer regulär auf Webflow gehosteten Website pflegst du keine eigene PHP-Installation. Externe Dienste und eigenes Hosting müssen gesondert beurteilt werden.
Was sollten WordPress- und TYPO3-Betreiber jetzt tun?+
Kontaktiere umgehend deinen Hoster oder zuständigen IT-Dienstleister und lass die PHP-Sicherheitsupdates bestätigen. Ein CMS-Update allein schließt diese PHP-Lücken nicht.
Kann auch ein Zusatzdienst wie Matomo betroffen sein?+
Ja, selbst gehostetes Matomo nutzt PHP und muss separat geprüft werden. Das gilt auch dann, wenn die Hauptwebsite ohne PHP läuft.
Wer hilft mir, wenn ich das System meiner Website nicht kenne?+
Melde dich bei Maluure. Wir helfen bei der Einordnung und dabei, den zuständigen Betreiber zu finden.
Quellen
- BSI: PHP, kritische Schwachstellen, BSI (2026-10-21)
- PHP: Critical remote code execution vulnerabilities, PHP (2026-10-21)
- RCE via OOM corruption, PHP Security Team (2026-10-21)
- RCE via stale global state, PHP Security Team (2026-10-21)
- Critical PHP Security Release, WordPress (2026-10-21)
- Critical PHP Security Vulnerabilities: Important Update for Matomo Users, Matomo (2026-10-21)
- Custom code in head and body tags, Webflow
- Deployment, hosting, and ownership options with Lovable, Lovable
#PHP#Sicherheit#Website-Wartung#Webflow#Lovable
Autor
Josef KujawskiGeschäftsführer & Creative Director bei Maluure
Josef leitet die strategische und gestalterische Entwicklung von Marken bei Maluure. Seit über einem Jahrzehnt begleitet er mittelständische Unternehmen von der Markenpositionierung bis zur digitalen Umsetzung.
Geschäftsführer der Maluure GmbH, Köln. Spezialisiert auf Corporate Design, Markenstrategie und digitale Markenerlebnisse.
Du willst unsere Beiträge öfter in Googles Top Stories sehen? Füge Maluure als bevorzugte Quelle hinzu.
Bei Google hinzufügenWeiterlesen
Web & Design
TYPO3 Update: LTS, ELTS und warum veraltete Versionen ein Risiko sind
Wie lange bekommt deine TYPO3-Version noch Updates, was ist ELTS und wie läuft ein Update ab? Mit aktuellen Support-Zeiträumen und Checkliste.
7 Min Lesezeit
Web & Design
Website-Wartung: Kosten, Leistungen und warum sie sich lohnt
Updates, Backups, Sicherheit: Was Website-Wartung kostet, was drin sein sollte und wann du sie selbst machen kannst.
2 Min Lesezeit
Web & Design
Webflow vs. WordPress: Der Vergleich für Unternehmen
Webflow oder WordPress? Der ehrliche Vergleich zu Performance, Pflege, Kosten, Security und Skalierung – inklusive Entscheidungshilfe für Unternehmen.
6 Min Lesezeit
Weitere Blogthemen entdecken
Web & Design
Lovable Agentur: Was eine erfahrene Agentur mit Lovable wirklich aus deinem Projekt macht
Lovable baut Web-Apps und Websites in Rekordzeit. Was eine Agentur dabei beiträgt, was das kostet und woran du eine gute Lovable Agentur erkennst – mit drei Projekten aus unserer Praxis.
5 Min Lesezeit
SEO & Marketing
Übernehmer Köln: Was ein regionales Magazin und Branchenverzeichnis wirklich bringt
Warum ein redaktionelles Kölner Branchenverzeichnis mehr ist als ein Eintrag: Backlinks aus echtem Umfeld, Vertrauenssignale für KI-Antworten und eine Bühne für Unternehmer und ihr Unternehmen.
6 Min Lesezeit
Web & Design
Homepage erstellen lassen Köln: Was kostet sie, was muss drin sein und woran du eine gute Agentur erkennst
Was kostet eine Homepage in Köln? Was muss sie enthalten? Und woran erkennst du eine gute Homepage-Agentur? Ein praxisnaher Guide für Unternehmen, die eine professionelle Homepage erstellen lassen wollen.
6 Min Lesezeit