Am 21.10.2026 hat das PHP-Projekt Sicherheitsupdates für zwei kritische Lücken in der Programmiersprache PHP veröffentlicht, über die derzeit viele Medien berichten. Im XONIC-Hosting haben wir am 21.10. zuerst eine Schutzmaßnahme auf allen Servern gesetzt und die Updates noch am selben Tag eingespielt. Kunden mit Shop im XONIC-Hosting müssen nichts unternehmen.
Auf einen Blick
- Was ist passiert? In PHP selbst wurden zwei kritische Sicherheitslücken gefunden (CVE-2026-109618 und CVE-2026-109619, in Berichten oft „PHP2Shell“ genannt). Betroffen ist PHP als Grundlage vieler Websites, nicht das XONIC Shopsystem.
- Korrigierte Versionen: PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35, veröffentlicht am 21.10.2026.
- Im XONIC-Hosting: Die Schutzmaßnahme ist seit dem Nachmittag des 21.10. auf allen Servern aktiv. Die Updates für PHP 8.2 bis 8.5 waren am frühen Abend eingespielt.
- Ihr Aufwand: keiner, wenn Ihr Shop im XONIC-Hosting läuft.
- Shop bei einem anderen Hoster: Fragen Sie Ihren Hoster nach dem Update. Einen Wechsel der PHP-Version bitte vorher mit uns abstimmen.
Stand: 21.10.2026, 19:30 Uhr.
Was ist über die Sicherheitslücken bekannt?
Das PHP-Sicherheitsteam stuft beide Lücken als kritisch ein. Sie betreffen PHP-Installationen, die Anfragen aus dem Internet beantworten, und zwar unabhängig davon, welche Software darauf läuft. Ein Plugin, ein Theme oder ein Shop-Update kann sie deshalb nicht schließen, sondern nur ein Update von PHP auf dem Server. Sicherheitsdienste meldeten bereits erste Angriffsversuche.
Ursprünglich war die Veröffentlichung für Donnerstag, den 22.10., geplant. Weil vorab Details bekannt wurden, hat das PHP-Team die Updates vorgezogen.
Was haben wir im XONIC-Hosting gemacht?
| Zeitpunkt | Maßnahme |
|---|---|
| 20.10.2026, abends | Das PHP-Team kündigt die Sicherheitsupdates für den 21.10. an. |
| 21.10.2026, nachmittags | Wir erfassen alle PHP-Versionen auf unseren Servern, setzen für jede die empfohlene Schutzmaßnahme und prüfen, dass die Shops normal weiterlaufen. Das PHP-Projekt veröffentlicht die korrigierten Versionen 8.5.12, 8.4.27, 8.3.36 und 8.2.35. |
| 21.10.2026, früher Abend | Die Updates sind auf allen Servern im XONIC-Hosting eingespielt. Anschließend haben wir jede Version und die Erreichbarkeit der Shops kontrolliert. |
Was ändert sich am XONIC Shopsystem?
Für das Schließen der Lücken ist kein Shop-Update nötig, denn sie liegen in PHP. Zusätzlich haben wir den Schutz der Sitzungen im Shop erweitert: Ab Version 4.9.176 akzeptiert der Shop nur noch Sitzungen, die er selbst eröffnet hat. Das kommt mit dem nächsten Update. Auf unseren Servern ist diese Einstellung bereits aktiv.
Was gilt für Shops mit älterer PHP-Version?
Für PHP 8.1 und ältere Versionen veröffentlicht das PHP-Projekt keine Updates mehr. Auch dort ist die Schutzmaßnahme im XONIC-Hosting gesetzt. Vollständig geschlossen werden die Lücken laut PHP-Team aber nur durch eine aktuelle PHP-Version.
Unsere Empfehlung ist PHP 8.4, darauf ist die aktuelle Shopversion ausgelegt. Ältere Shopversionen brauchen vor dem Wechsel ein Update, sonst ist der Shop danach nicht mehr erreichbar. Wenn Ihr Shop noch auf einer älteren Version läuft, sprechen Sie uns an. Wir planen die Umstellung gemeinsam mit Ihnen.
Häufige Fragen zu den PHP-Sicherheitslücken
Ist das XONIC Shopsystem von den PHP-Sicherheitslücken betroffen?
Die Lücken stecken in PHP, der Programmiersprache, auf der die meisten Onlineshops und Websites laufen, nicht im XONIC Shopsystem. Geschlossen werden sie durch ein PHP-Update auf dem Server. Im XONIC-Hosting ist dieses Update seit dem 21.10.2026 eingespielt.
Muss ich als Kunde im XONIC-Hosting etwas tun?
Nein. Die Schutzmaßnahme und die PHP-Updates haben wir am 21.10.2026 auf allen Servern im XONIC-Hosting eingespielt und anschließend geprüft. Läuft Ihr Shop noch mit PHP 8.1 oder älter, empfehlen wir zusätzlich den Wechsel auf PHP 8.4.
Mein Shop liegt bei einem anderen Hoster. Was ist zu tun?
Für Server und PHP-Version ist dann Ihr Hoster zuständig. Fragen Sie ihn, ob er die Updates vom 21.10.2026 eingespielt hat. Stellt er dabei die PHP-Version um, stimmen Sie den Wechsel bitte vorher mit uns ab, denn ältere Shopversionen laufen erst nach einem Update unter PHP 8.4.
Welche PHP-Versionen enthalten die Korrektur?
PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35, jeweils vom 21.10.2026. Für PHP 8.1 und ältere Versionen gibt es vom PHP-Projekt keine Updates mehr.
Mein Shop läuft noch mit PHP 8.1 oder älter. Ist das ein Problem?
Für diese Versionen gibt es keine offiziellen Korrekturen mehr. Im XONIC-Hosting ist eine Schutzmaßnahme gesetzt, die vollständige Absicherung bringt aber erst eine aktuelle PHP-Version. Wir empfehlen PHP 8.4. Ältere Shopversionen brauchen dafür zuerst ein Update, das wir gerne mit Ihnen planen.
Brauche ich ein Shop-Update?
Nicht, um die Lücken zu schließen, denn das erledigt das PHP-Update. Ab Version 4.9.176 schützt der Shop seine Sitzungen zusätzlich selbst. Im XONIC-Hosting ist diese Einstellung bereits auf Serverebene aktiv, die Shopversion bringt sie auch zu Shops bei anderen Hostern.
Fragen zu Ihrem Shop?
Sie möchten wissen, mit welcher PHP-Version Ihr Shop läuft, oder eine Umstellung auf PHP 8.4 planen? Eröffnen Sie ein Support-Ticket oder nutzen Sie unser Kontaktformular.
Quellen & weiterführende Informationen
Stephan Dunger
Stephan Dunger gehört zu den Köpfen hinter dem XONIC Shopsystem. Seit 2012 entwickelt er die Plattform gemeinsam mit dem Team weiter – von der Datenbank über die Schnittstellen bis zum Checkout.
Programmierer aus Leidenschaft, technischer Kopf und Berater zugleich: Mit tiefem Know-how rund um Shopsysteme und E-Commerce verbindet Stephan die Tiefe eines Entwicklers mit dem Blick fürs große Ganze. Gemeinsam mit dem XONIC-Team prägt er die technische Ausrichtung, denkt Funktionen konsequent vom Nutzen des Händlers her und berät bei maßgeschneiderten Lösungen.
Das Ergebnis ist Software mit Gesicht: Kunden bekommen keinen anonymen Anbieter, sondern einen direkten Draht zu den Menschen, die XONIC entwickeln. Pragmatisch, schnell und auf Augenhöhe.
