Kritische PHP-Sicherheitslücke: ScaleCommerce patcht alle Kundinnen und Kunden binnen weniger Minuten – auch PHP-Versionen ohne offiziellen Fix

Als das PHP-Entwicklerteam am 21. Oktober 2026 um 16:00 MESZ sein Notfall-Sicherheitsupdate gegen zwei kritische Schwachstellen (CVE-2026-109618 und CVE-2026-109619, CVSS 9,2) veröffentlichte, waren 90 Prozent der Hosting-Kundinnen und -Kunden von ScaleCommerce, Performance-as-a-Service-Anbieter mit Fokus auf E-Commerce, bereits 18 Minuten später gepatcht. Bis 20 Uhr hatte ScaleCommerce ausnahmslos alle betreuten Systeme abgesichert – einschließlich der Shops, die auf PHP-Versionen laufen, für die das PHP-Projekt selbst keinen offiziellen Fix mehr bereitstellt.

Möglich wurde das durch Vorbereitung: Da PHP die Veröffentlichung bereits am Vormittag angekündigt hatte, nutzte das ScaleCommerce-Entwicklungsteam das rund achtstündige Zeitfenster, um den Rollout vollständig zu automatisieren. Für alle Systeme mit aktuellem Betriebssystem ließ sich das Update parallel statt nacheinander ausspielen – statt Kunde für Kunde einzeln zu patchen, lief die Aktualisierung bei allen gleichzeitig und war binnen rund 18 Minuten abgeschlossen.

Für rund 300 Systeme mit veraltetem Betriebssystem war das nicht ohne Weiteres möglich: Hier spielte ScaleCommerce zunächst ein Ubuntu-Update ein, um den automatisierten PHP-Patch im Anschluss ebenfalls ausrollen zu können. Dieser zweite Block war gegen 20 Uhr abgeschlossen. Insgesamt hat ScaleCommerce an diesem Tag über 300 Betriebssystem- und weit über 1.000 PHP-Updates eingespielt.

„Wir wussten ja durch die Ankündigung von PHP schon morgens, dass um 16 Uhr etwas Kritisches passieren würde, und haben die acht Stunden bis dahin komplett in die Vorbereitung gesteckt, damit wir unsere Kunden nicht offline nehmen müssen. Das Ergebnis war, dass wir nicht Kunde für Kunde einzeln patchen mussten, sondern alle gleichzeitig – und zwar unabhängig davon, welche PHP-Version sie einsetzen. Unser PHP-Anbieter hat glücklicherweise auch für die älteren Versionen Patches zur Verfügung gestellt, damit kein von uns gehosteter Shop ungeschützt bleibt“, sagt Thomas Lohner, Geschäftsführer und Gründer von ScaleCommerce

Im Anschluss an den Rollout hat ScaleCommerce die Logs der betreuten Systeme ausgewertet. Das Ergebnis: nur vereinzelte Angriffsversuche auf Kundenshops, keine Hinweise auf eine breite Kompromittierung.

Warum das außergewöhnlich ist

Die Lücke steckt im PHP-Kern und betrifft praktisch jede PHP-basierte Website. Besonders heikel: Für PHP 8.1 und älter – bei vielen gewachsenen Shops noch im Einsatz – gibt es vom PHP-Projekt selbst keinen offiziellen Fix mehr. ScaleCommerce konnte dennoch alle Kundinnen und Kunden schützen, unabhängig von der eingesetzten PHP-Version.

ScaleCommerce empfiehlt allen Betreiberinnen und Betreibern von PHP-basierten Shops und Websites unabhängig vom eigenen Hosting-Anbieter, die eigenen Systeme jetzt zu prüfen: aktuelle PHP-Version sicherstellen, Logs auch rückwirkend auf verdächtige Zugriffe durchsuchen und bei älteren PHP-Versionen aktiv beim eigenen Provider nach einem Patch oder Backport zu fragen. ScaleCommerce hat auch auf dem eigenen Blog ausführliche Hintergrundartikel zur Schwachstelle veröffentlicht.