Die EU warnt vor kritischen PHP-Lücken. Wissen Sie, wo in Ihrem Shop PHP läuft?#

Am 21. Oktober 2026 haben die EU-Kommission (DG CNECT), die EU-Agentur für Cybersicherheit ENISA, CERT-EU, das Europol-Zentrum für Cyberkriminalität EC3 und das Netzwerk der nationalen IT-Sicherheitsteams (CSIRTs-Netzwerk) eine gemeinsame Warnung veröffentlicht. Es geht um zwei kritische Schwachstellen in PHP, einer Programmiersprache, die für sehr viele Websites und Anwendungen genutzt wird. Laut der Erklärung können Angreifer über diese Lücken aus der Ferne Schadcode auf verwundbaren Servern ausführen, und zwar ohne sich anmelden zu müssen.

Das PHP-Sicherheitsteam hat am selben Tag Updates bereitgestellt. Die Behörden raten Unternehmen, sofort zu handeln. Für Onlinehändler ist das kein abstraktes Thema. Viele Shopsysteme, Plugins, Zahlungsanbindungen und Schnittstellen zur Warenwirtschaft laufen auf PHP, oft ohne dass das im Alltag jemand weiß.

Was die EU-Behörden konkret empfehlen#

Die gemeinsame Erklärung ist erfreulich praktisch. Sinngemäß lauten die Empfehlungen:

• PHP-Anwendungen identifizieren. Zuerst muss klar sein, welche Systeme überhaupt PHP nutzen.
• Mit Hosting- und Dienstleistern abstimmen. Wer betreibt den Server, wer ist für Updates zuständig?
• Sicherheitsupdates einspielen. Die Updates des PHP-Teams liegen vor, die betroffenen und behobenen Versionen stehen in den offiziellen Hinweisen auf php.net.
• Internetseitige Systeme zuerst. Alles, was von außen erreichbar ist, hat Vorrang.
• Notfalls isolieren. Wo ein Update nicht sofort möglich ist, sollen betroffene Anwendungen vom öffentlichen Netz getrennt werden, bis die Korrektur eingespielt ist.

Ein Satz aus der Erklärung ist für den Mittelstand besonders wichtig: Viele kommerzielle und quelloffene Produkte nutzen PHP im Hintergrund. Sie können also betroffen sein, auch wenn sie nach außen gar nicht nach PHP aussehen. Die Behörden verweisen dafür auf eine Übersicht des niederländischen NCSC zu Drittsoftware, die PHP enthält.

Die eigentliche Frage: Wissen Sie in einer Stunde, wo es läuft?#

In vielen Shops lautet die ehrliche Antwort auf "Sind wir betroffen?" zunächst: "Keine Ahnung, da müssen wir die Agentur fragen." Das ist kein Vorwurf. Ein typischer Onlineshop im Mittelstand ist über Jahre gewachsen. Da gibt es das Shopsystem selbst, ein paar Plugins für Versand, Bewertungen und Newsletter, eine Schnittstelle zur Warenwirtschaft, ein Skript für den Preisexport zu Vergleichsportalen und vielleicht noch eine alte Landingpage auf einem separaten Webspace.

Jedes dieser Teile kann PHP nutzen. Und bei jedem ist eine andere Person oder Firma zuständig. Wenn dann eine Warnung wie diese kommt, beginnt die Suche: Wer hat das damals eingerichtet? Welcher Hoster? Gibt es dort überhaupt noch einen Wartungsvertrag?

Genau hier entscheidet sich, ob eine kritische Lücke in einem halben Tag erledigt ist oder ob sie wochenlang offen bleibt. Der Unterschied liegt selten in der Technik. Er liegt darin, ob es ein aktuelles Inventar gibt.

Was ein gutes Inventar enthält#

Ein Systeminventar muss kein großes Dokument sein. Für einen Shop im Mittelstand reicht oft eine Tabelle mit diesen Spalten:

• System oder Komponente (Shop, Plugin, Schnittstelle, Skript, Website)
• Technik, soweit bekannt (zum Beispiel PHP)
• Von außen erreichbar? Ja oder nein
• Wer betreibt es? Eigenes Team, Agentur, Hoster, Softwareanbieter
• Wer spielt Updates ein? Mit Namen und Kontakt
• Welche Daten fließen? Kundendaten, Bestellungen, Zahlungsdaten

Mit so einer Liste ist die erste Reaktion auf eine Warnung schnell erledigt: Filtern nach PHP und "von außen erreichbar", Verantwortliche anschreiben, Rückmeldung abwarten, abhaken.

Warum KI-Tools in dieselbe Liste gehören#

Immer mehr Shops verbinden KI-Werkzeuge direkt mit Shop und Warenwirtschaft. Ein KI-Assistent schreibt Produkttexte, ein Chatbot beantwortet Kundenfragen, ein Agent prüft Lagerbestände oder legt Bestellungen an. Diese Werkzeuge greifen über Schnittstellen auf genau die Systeme zu, die jetzt gepatcht werden müssen.

Damit stellen sich dieselben Fragen: Welches KI-Tool hängt an welchem System? Mit welchen Rechten? Wer hat den Zugang eingerichtet, und wer würde merken, wenn darüber etwas Ungewöhnliches passiert? Wer heute ein Inventar für die PHP-Lücken anlegt, sollte die KI-Tools gleich mit aufnehmen. Der Aufwand ist kaum größer, und bei der nächsten Warnung ist die Übersicht schon da.

Praxis-Checkliste für Onlinehändler#

1. Alle Systeme sammeln, die mit dem Shop zu tun haben. Shop, Plugins, Schnittstellen, Skripte, Nebenseiten. Lieber eine Zeile zu viel als zu wenig.
2. Technik klären. Bei jedem Eintrag festhalten, ob PHP im Spiel ist. Im Zweifel beim Dienstleister nachfragen.
3. Erreichbarkeit markieren. Was ist aus dem Internet erreichbar? Diese Systeme kommen zuerst dran.
4. Zuständigkeiten eintragen. Für jedes System eine Person oder Firma, die Updates einspielt, mit Kontaktdaten.
5. Hoster und Agentur aktiv anschreiben. Nicht warten, bis sich jemand meldet. Konkret fragen: Ist das Update für die aktuellen PHP-Lücken eingespielt?
6. KI-Tools ergänzen. Welche KI-Werkzeuge greifen auf Shop, Warenwirtschaft oder Kundendaten zu, und mit welchen Rechten?
7. Plan B festlegen. Was passiert, wenn ein System nicht sofort aktualisiert werden kann? Wer darf entscheiden, es vorübergehend vom Netz zu nehmen?
8. Liste aktuell halten. Neues Plugin, neue Schnittstelle, neues KI-Tool: Eintrag gleich mit anlegen.

Unser Fazit#

Die gemeinsame Warnung der EU-Behörden zeigt vor allem eines: Wer nicht weiß, wo welche Technik läuft, kann im Ernstfall nicht schnell reagieren. Das gilt für PHP genauso wie für die KI-Werkzeuge, die zunehmend an Shop und Warenwirtschaft angebunden werden. Ein schlankes Inventar mit klaren Zuständigkeiten ist deshalb keine Pflichtübung, sondern die Grundlage, um bei der nächsten Warnung in Stunden statt Wochen zu handeln.

Genau das ist Teil unseres KI-Readiness-Audits: Wir erfassen gemeinsam mit Ihnen, welche Systeme, Plugins, Schnittstellen und KI-Tools an Ihrem Shop hängen, wer sie betreibt und wer sie aktualisiert. Das Audit kostet 3.500 Euro. Wenn Sie wissen möchten, wie gut Ihr Shop auf die nächste Warnung vorbereitet ist, sprechen Sie uns gern an.

Hinweis: Dieser Beitrag ersetzt keine technische Sicherheitsprüfung. Ob Ihre Systeme betroffen sind, klären Sie bitte mit Ihrem Hoster oder Dienstleister anhand der offiziellen Hinweise.

Quellen#

• ENISA: Joint statement on critical PHP vulnerabilities (gemeinsame Erklärung von EU-Kommission DG CNECT, ENISA, CERT-EU, Europol EC3 und CSIRTs-Netzwerk vom 21. Oktober 2026)
• PHP: Offizielle Sicherheitshinweise und Updates
• CERT-EU: Security Advisory 2026-018
• NCSC-NL: Übersicht zu Drittsoftware mit PHP