Das österreichische Computer Emergency Response Team (CERT.at) warnt vor zwei kritischen Sicherheitslücken in der Programmiersprache PHP. Diese kommt bei zahlreichen Websites und webbasierten Anwendungen zum Einsatz. Die am 21. Oktober 2026 veröffentlichten Schwachstellen könnten es Angreifern ermöglichen, aus der Ferne Schadcode auf betroffenen Servern auszuführen – unter Umständen sogar ohne vorherige Anmeldung.

Weiterlesen: Das war der A&W-Tag 2026

Die Sicherheitslücken werden mit einem Schweregrad von 9,2 auf einer Skala bis 10 bewertet. Das PHP-Entwicklerteam hat bereits entsprechende Sicherheitsupdates veröffentlicht und empfiehlt deren umgehende Installation. 

Warum sind auch Autohändler und Werkstätten betroffen?

PHP ist eine Programmiersprache, die häufig im Hintergrund von Websites arbeitet. Besucher bekommen davon üblicherweise nichts mit. Auch zahlreiche Content-Management-Systeme wie WordPress sowie verschiedene Online-Anwendungen basieren auf PHP.

Für Autohändler und Werkstätten kann das beispielsweise die Unternehmenswebsite, einen Onlineshop für Zubehör und Ersatzteile oder ein Online-Terminbuchungssystem betreffen. Ob tatsächlich eine Gefährdung besteht, hängt von der technischen Umsetzung und der verwendeten PHP-Version ab.

Ein erfolgreicher Angriff könnte es Kriminellen ermöglichen, die Kontrolle über Teile des Webservers zu übernehmen, Inhalte zu manipulieren oder auf gespeicherte Informationen zuzugreifen. Je nach System und vorhandenen Zugriffsrechten könnten auch Kundendaten gefährdet sein. „Eine globale Sicherheitslücke betrifft nicht nur die Erreichbarkeit der Website, sondern berührt immer auch Fragen der Datensicherheit. Für unsere Händler analysieren wir jedes Setup und koordinieren die technischen Upgrades direkt mit den Hostern“, so Wolfgang Gschaider, Geschäftsführer Autohaus Digital.

Was sollten Betriebe jetzt konkret tun?

Für die notwendigen Maßnahmen sind keine eigenen IT-Kenntnisse erforderlich. Entscheidend ist, dass Autohändler und Werkstätten ihre zuständigen IT-Partner möglichst rasch auf die Sicherheitsproblematik aufmerksam machen.

Folgende Schritte sind empfehlenswert:

  • IT-Dienstleister kontaktieren: Betriebe sollten sich umgehend an ihre interne IT-Abteilung, den externen IT-Betreuer oder die Agentur wenden, die ihre Website betreut.
  • Hosting-Anbieter informieren: Wird die Website über einen externen Anbieter betrieben, sollte überprüft werden, ob dieser die notwendigen PHP-Sicherheitsupdates bereits installiert hat.
  • Betroffene Systeme prüfen lassen: Neben der eigentlichen Website sollten auch Onlineshops, Terminbuchungssysteme und weitere webbasierte Anwendungen berücksichtigt werden.
  • Sicherheitsupdates durchführen lassen: Falls eine betroffene PHP-Version verwendet wird, muss diese durch eine abgesicherte Version beziehungsweise ein entsprechend aktualisiertes Serverpaket ersetzt werden.
  • Aktualisierung bestätigen lassen: Nach Durchführung der Maßnahmen sollten Betriebe eine kurze Rückmeldung ihres Dienstleisters einholen, dass die betroffenen Systeme überprüft und abgesichert wurden.

Wichtig: Ein gewöhnliches Update von WordPress, eines Plugins oder der Website-Inhalte allein behebt diese PHP-Sicherheitslücken nicht. Die Aktualisierung muss auf Ebene der verwendeten PHP-Installation erfolgen.

Was passiert, wenn ein Update nicht sofort möglich ist?

Ist eine sofortige Aktualisierung aus technischen Gründen nicht möglich, sollte der IT-Dienstleister das Risiko bewerten und gegebenenfalls vorübergehende Schutzmaßnahmen ergreifen.

Dazu kann auch gehören, besonders gefährdete Anwendungen zeitweise vom Internet zu trennen oder einzelne Dienste vorübergehend abzuschalten. Solche Maßnahmen sollten jedoch ausschließlich in Abstimmung mit dem zuständigen IT-Partner erfolgen. Laut dem PHP-Entwicklerteam bietet nur die Installation der entsprechenden Sicherheitsupdates einen vollständigen Schutz vor den beiden Schwachstellen.

Rasches Handeln kann Schäden verhindern

Für Autohändler und Werkstätten besteht derzeit vor allem Handlungsbedarf bei der Überprüfung ihrer Internetauftritte und Online-Dienste. Wer seine Website durch eine externe Agentur betreuen lässt, sollte nicht automatisch davon ausgehen, dass sämtliche Sicherheitsupdates bereits eingespielt wurden.

Eine kurze Anfrage beim zuständigen Dienstleister kann klären, ob die Systeme betroffen sind und welche Maßnahmen notwendig sind. Angesichts der Schwere der Sicherheitslücken sollte diese Überprüfung möglichst zeitnah erfolgen.

IT-Experte und Autohaus Digital-Mitbegründer Michael Luipersbeck dazu: "Niemand würde ein Auto ohne regelmäßiges Service auf die Autobahn schicken. Genau das verlangt diese PHP-Sicherheitslücke jetzt von uns auf digitaler Ebene: Ein gründliches 120.000-km-Service mit allen Updates.“