Kiekkist
Menü
EN

Ratgeber · 2026-10-31

Betrieb und Pflege sind wichtiger als Design: was PHP2Shell und Node.js im Oktober 2026 zeigen

KI ist da und bleibt, ist aber kein Grund, schlampig zu arbeiten. Warum Updates, Backups und weniger Technik jetzt mehr zählen als das nächste Layout.

Betrieb und Pflege sind wichtiger als Design

KI ist da und geht nicht wieder weg. Mit ihr ist eine Website in einem Nachmittag gebaut, ein Theme in einer Stunde angepasst. Das ist gut. Es ist aber kein Grund, schlampig zu arbeiten. Genau das haben viele mit WordPress getan: Theme kaufen, zwanzig Plugins drauf, live schalten, nie wieder anfassen. Die Rechnung kam später, in Form von gehackten Seiten und nächtlichen Updates.

Der Oktober 2026 zeigt, warum Betrieb und Pflege jetzt mehr zählen als das nächste Layout.

Was im Oktober passiert ist

PHP, 20. bis 26. Oktober. Am 20.10. kündigte das PHP-Projekt eine kritische Sicherheitsversion für den nächsten Tag an. Am 21.10. erschienen PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35. Behoben wurden zwei Lücken, beide mit CVSS v4.0 9.2 bewertet:

  • CVE-2026-109618: Codeausführung über fehlerhafte Speicherbehandlung, wenn das Speicherlimit im falschen Moment erreicht wird.
  • CVE-2026-109619: Codeausführung über Zustand, der eine Anfrage überlebt, nachdem sein Speicher schon freigegeben ist.

Betroffen sind laut PHP-Projekt alle Installationen, die Webseiten ausliefern (PHP-FPM, Apache mod_php, php-cgi, FrankenPHP, LiteSpeed). Am höchsten ist das Risiko bei mod_php: Dort wurde gezeigt, dass eine Anfrage ohne Anmeldung den Angriff auslösen kann, bevor überhaupt Code der Anwendung läuft. Der Satz in den Release-Hinweisen ist deutlich: „There are no complete mitigations, updating is the only safe choice.“ PHP 8.1 und älter bekommen vom PHP-Projekt keine Updates mehr; für 7.4 bis 8.1 gab es nur Quellcode-Rückportierungen. Die Lücken sind in der Branche unter dem Namen PHP2Shell bekannt.

Die Cyber Security Agency of Singapore meldete kurz darauf breit angelegte Angriffsversuche und mehrere Proof-of-Concept-Exploits in Arbeit. Am 23.10. folgte von PHP ein weiterer Hinweis zu einem seltenen Fall (CVE-2026-115560), am 26.10. neue Windows-Builds wegen einer Lücke in der Brotli-Bibliothek.

Für WordPress heißt das: WordPress läuft auf PHP. Jede WordPress-Seite, deren Hoster PHP nicht zeitnah aktualisiert hat, war angreifbar, egal wie gut Theme und Plugins gepflegt waren.

Node.js, 21. Oktober. Am selben Tag veröffentlichte Node.js Sicherheitsversionen für alle unterstützten Linien (v22.23.4, v24.22.1, v26.12.1). Zehn CVEs, vier davon hoch eingestuft, darunter ein Schreibzugriff außerhalb des Speicherbereichs im Brotli-Decoder, der Codeausführung ermöglicht (CVE-2026-111497), und mehrere Umgehungen der TLS-Hostnamen-Prüfung. Dieselbe Brotli-Lücke war der Grund für die PHP-Windows-Builds vom 26.10. Eine Bibliothek, zwei Ökosysteme.

WordPress selbst, September und Oktober. WordPress 7.1.2 (22.09.) schloss eine Pfad-Traversal-Lücke ohne Anmeldung, die unter Umständen zu Codeausführung führen konnte. WordPress 7.1.3 (06.10.) brachte sieben Sicherheitskorrekturen, darunter gespeichertes XSS auf der Kommentar-Verwaltung und eine SQL-Injection im Export.

Warum das mehr wird, nicht weniger

Dafür gibt es keine saubere Statistik für die Zukunft, aber zwei nachvollziehbare Gründe.

Mehr Code. Jede Website, die mit KI-Hilfe entsteht, bringt Abhängigkeiten mit. Jede Abhängigkeit ist Code, in dem Fehler stecken können.

Mehr Suche, auch automatisiert. Mehrere der sieben Korrekturen in WordPress 7.1.3 wurden u. a. von KI-Laboren und Sicherheitsfirmen gemeldet. Die PHP Foundation schreibt, dass PHP 2026 mit KI-Werkzeugen durchsucht wurde und KI-gestützte Forschung die Zahl der Meldungen erhöht hat. Ihr Fazit vom 21.10.2026: „Tools now find bugs faster than ever, for defenders and attackers alike, and the number of reports will keep growing.“

Das ist gut, weil Lücken gefunden werden, bevor sie jemand ausnutzt. Es heißt aber auch: Wer eine Website betreibt, bekommt öfter die Nachricht „bitte sofort aktualisieren“. Und jemand muss sie dann auch umsetzen.

Zur Größenordnung im WordPress-Umfeld: Patchstack zählte 11.334 neue Sicherheitslücken im Jahr 2025, 91 % davon in Plugins, 46 % ohne Patch zum Zeitpunkt der Veröffentlichung. Patchstack verkauft Schutz für WordPress, die Zahlen sind also Anbieterdaten. Plausibel sind sie trotzdem.

Was das für Agenturen und Betreiber kostet

Eine Woche wie die vom 21.10. bedeutet für eine Agentur mit vielen WordPress-Kunden: jede Installation prüfen, mit jedem Hoster klären, welche PHP-Version läuft, wo nötig selbst aktualisieren, Kunden informieren. Dazu kommen die normalen Plugin-Updates. Diese Zeit taucht in keinem Angebot auf, wenn man sie nicht hineinschreibt.

Dazu kommt ein unangenehmer Punkt: Der Kunde merkt gute Pflege nicht. Er merkt nur, wenn seine Seite plötzlich Werbung für Online-Casinos zeigt.

Was du brauchst

  1. Eine Update-Routine mit Termin. Sicherheitsmeldungen von PHP, Node.js und deinem CMS abonnieren. Bei kritischen Meldungen am selben oder nächsten Werktag prüfen, welche Kundenseiten betroffen sind. Regulär einmal im Monat.
  2. Backups außer Haus, mit getesteter Wiederherstellung. Ein Backup beim selben Anbieter im selben Konto ist kein Backup für den Ernstfall. Einmal im Jahr eine Seite aus dem Backup auf leerem System wiederherstellen.
  3. Monitoring von außen. Erreichbarkeit, Ablauf des TLS-Zertifikats, Ablauf der Domain. Ein Monitoring auf demselben Server fällt mit ihm aus.
  4. Weniger bewegliche Teile. Jedes Plugin, jede Datenbank, jedes eingebettete Fremdskript ist etwas, das gepflegt werden muss. Brauchst du es wirklich?
  5. Statisch, wo es geht. Eine statische Seite führt bei Aufrufen keinen PHP- oder Node-Code aus. Von Lücken wie PHP2Shell ist sie nicht direkt betroffen. Node läuft dann nur beim Bauen auf deinem Rechner oder in der CI, nicht live im Netz. Aktualisieren musst du trotzdem, aber ohne Zeitdruck auf der Live-Seite.
  6. Klare Zuständigkeit. Im Übergabedokument steht, wer Updates macht, wie oft und wie schnell. Auf den Namen des Kunden laufen Domain und Hosting, damit nichts an einer Person hängt.

Wo Kiekkist hilft, und wo nicht

Kiekkist verkauft Designs, keine Hosting- oder Wartungsverträge. Was wir dir abnehmen können:

  • Statischer Export ohne Plugin-Stapel. Astro oder reines HTML. Keine Datenbank, kein Admin-Login, das man angreifen kann.
  • Null Anfragen an fremde Server ab Werk. Schriften und Bilder liegen bei dir. Weniger fremder Code auf der Seite heißt weniger, was sich ohne dein Zutun ändert.
  • Vor dem Verkauf geprüft. Barrierefreiheit nach WCAG 2.2 AA (automatisch plus Stichproben von Hand) und Ladezeit. Du startest nicht mit Altlasten.
  • Übergabepaket mit Betriebsteil. Für den Endkunden: wo die Seite liegt, wem Domain und Hosting gehören, wie Backups laufen, wer Updates macht, was im Notfall zu tun ist. Als Vorlage zum Ausfüllen.
  • Nichts hängt an unserem Server. Nach dem Download funktioniert alles ohne uns, die Lizenz ist offline prüfbar.

Was wir nicht abnehmen: Jemand muss die Seite hosten, das Zertifikat erneuern, die Domain verlängern, den Build ab und zu aktualisieren und ein Backup haben. Bei einer statischen Seite ist das wenig. Null ist es nie. Und wenn du ein Kiekkist-Design als WordPress-Theme exportierst, übernimmst du auch die Pflege von WordPress und PHP.

Ein schönes Design ist schnell gemacht, gerade mit KI. Eine Seite, die in drei Jahren noch sicher läuft, braucht jemanden, der sich kümmert. Das ist die eigentliche Arbeit, und die sollte im Angebot stehen.

Quellen

Quellen

  1. php.net: Upcoming Critical PHP Security Release (20.10.2026)
  2. php.net: Security advisory, Critical remote code execution vulnerabilities (21.10.2026)
  3. GitHub Security Advisory GHSA-w8hw-w9fx-j79w (CVE-2026-109618)
  4. GitHub Security Advisory GHSA-6wmf-4rv5-p3rp (CVE-2026-109619)
  5. The PHP Foundation: Today's PHP security release and how we're strengthening PHP security (21.10.2026)
  6. Cyber Security Agency of Singapore, Alert AL-2026-151
  7. Node.js: October 2026 Security Releases (21.10.2026)
  8. WordPress 7.1.3 Maintenance and Security Release (06.10.2026)
  9. WordPress 7.1.2 (22.09.2026)
  10. Patchstack: State of WordPress Security in 2026 (Anbieterdaten)

Fragen

Was war PHP2Shell?

Zwei kritische Lücken in PHP (CVE-2026-109618 und CVE-2026-109619, CVSS v4.0 9.2), behoben am 21.10.2026 in PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35. Laut PHP-Projekt gibt es keine vollständige Abhilfe außer dem Update.

Ist meine WordPress-Seite betroffen?

WordPress läuft auf PHP. Betroffen ist jede Installation, deren PHP-Version nicht aktualisiert ist. Frag deinen Hoster, welche PHP-Version läuft, und aktualisiere zusätzlich WordPress selbst, aktuell 7.1.3.

Ist eine statische Website sicher vor solchen Lücken?

Eine rein statische Seite führt bei Aufrufen keinen PHP- oder Node-Code aus und ist von Lücken wie PHP2Shell nicht direkt betroffen. Der Webserver und ein eventuelles Formularskript müssen trotzdem aktuell sein.

Warum werden immer mehr Sicherheitslücken gefunden?

Es gibt mehr Code und mehr automatisierte Suche, auch mit KI-Werkzeugen. Die PHP Foundation schrieb am 21.10.2026, dass Werkzeuge Fehler schneller finden als je zuvor und die Zahl der Meldungen weiter steigen wird.

Was muss eine Agentur für den Betrieb von Kundenseiten haben?

Eine feste Update-Routine, Backups außer Haus mit getesteter Wiederherstellung, Monitoring von außen, dokumentierte Zugänge und so wenig bewegliche Teile wie möglich.

Zur GalerieAlle Ratgeber