Am 21. Oktober 2026 wurden zwei kritische Sicherheitslücken in PHP veröffentlicht. Besonders unangenehm ist die Situation für Betreiber älterer Magento Shops, die noch PHP 5.6, PHP 7.4 oder eine andere inzwischen nicht mehr unterstützte PHP Version verwenden. Ein einfaches PHP Update ist dort häufig nicht möglich, ohne gleichzeitig Magento und zahlreiche Erweiterungen anzupassen.
Die Schwachstellen mit den Kennungen CVE-2026-109618 und CVE-2026-109619 ermöglichen unter bestimmten Voraussetzungen die Ausführung fremden Codes auf dem Server, und das unter Umständen ganz ohne vorherige Anmeldung. Beide wurden mit einem Schweregrad von 9,2 bewertet.
Warum ältere Magento Shops besonders betroffen sind
Magento 1 benötigt in vielen Installationen noch PHP 5.x oder PHP 7.x. Auch ältere Magento 2 Installationen sind häufig an bestimmte PHP Versionen gebunden.
Ein Wechsel auf PHP 8.3 oder 8.4 kann deshalb dazu führen, dass der Shop nicht mehr funktioniert. Veraltete Bibliotheken, individuelle Erweiterungen und Anpassungen am Magento Core machen den Wechsel mitunter zu einem größeren Projekt.
Das Problem dabei: PHP 5.x und PHP 7.x erhalten keine regulären Sicherheitsupdates mehr. Ein Shop, der gestern noch problemlos funktionierte, kann heute also einer erheblichen zusätzlichen Gefahr ausgesetzt sein.
Übrigens sind auch ältere PHP 8 Versionen betroffen. Allein die Versionsnummer 8 bedeutet noch nicht, dass ein System sicher ist.
Was können Shopbetreiber jetzt tun?
Die gute Nachricht ist, dass nicht zwingend sofort der komplette Magento Shop modernisiert werden muss, um das Risiko zumindest vorübergehend zu reduzieren.
Je nach Serverkonfiguration kommen unter anderem folgende Maßnahmen infrage:
- Webserver absichern: Gefährliche Anfragen möglichst bereits durch Apache, nginx oder eine vorgeschaltete Firewall abweisen.
- PHP Konfiguration härten: Bestimmte PHP Funktionen deaktivieren und die Verarbeitung von Anfragen serverseitig begrenzen.
- Adminbereich schützen: Den Magento Administrationsbereich zusätzlich absichern und unnötige öffentliche Zugriffsmöglichkeiten reduzieren.
- Hosting prüfen: Klären, ob der Anbieter Sicherheitskorrekturen für die verwendete alte PHP Version bereitstellt.
- Magento Erweiterungen kontrollieren: Nicht mehr benötigte Funktionen entfernen und gefährdete Schnittstellen möglichst einschränken.
Wichtig: Diese Maßnahmen ersetzen keinen Sicherheitspatch für PHP selbst. Sie können bestimmte Angriffsmöglichkeiten einschränken, bieten aber keinen vollständigen Schutz. Im Zweifelsfall muss ein gefährdetes System vorübergehend vom öffentlichen Zugriff getrennt werden.
Warum nicht einfach PHP aktualisieren?
Wer einen aktuellen Magento 2 Shop betreibt, kann oftmals vergleichsweise unkompliziert auf eine unterstützte PHP Version wechseln, sofern die installierten Erweiterungen mitspielen.
Bei Magento 1 oder älteren Magento 2 Versionen sieht es anders aus. Hier müssen zunächst die technischen Abhängigkeiten untersucht werden. Eventuell lassen sich einzelne Erweiterungen anpassen, an anderer Stelle wird eine umfassendere Aktualisierung notwendig.
Ein pauschaler Wechsel der PHP Version ist deshalb keine gute Idee. Schließlich soll der Shop nach der Sicherheitsmaßnahme auch weiterhin vollständig funktionieren.
Ich unterstütze Sie bei der Absicherung Ihres Magento Shops
Sie betreiben einen Magento 1 oder Magento 2 Shop mit PHP 5.6, 7.4 oder einer anderen veralteten PHP Version und wissen nicht, wie Sie auf die aktuellen Sicherheitslücken reagieren sollen?
Dann kontaktieren Sie mich gerne.
Ich prüfe Ihre bestehende Magento Installation, die PHP Umgebung und die Möglichkeiten zur kurzfristigen Absicherung. Dabei geht es zunächst darum, das tatsächliche Risiko zu bewerten und sinnvolle Maßnahmen umzusetzen, ohne unnötig in einen funktionierenden Shop einzugreifen.
Wenn eine dauerhafte Aktualisierung erforderlich ist, erarbeiten wir anschließend einen passenden Weg. Von der Anpassung einzelner Erweiterungen bis zum vollständigen Magento Update.
Weiterführende Informationen
Die offiziellen Informationen zu den Schwachstellen, betroffenen PHP Versionen und verfügbaren Sicherheitsupdates finden Sie direkt beim PHP Entwicklungsteam.