Von Alexander LuftJTL Service Partner Gold · Ahrensfelde bei Berlin · 21. Oktober 2026 · 8 Min. Lesezeit
Inhalt
Das PHP-Projekt hat am 20. Oktober 2026 ein kritisches Sicherheitsupdate angekündigt. Laut php.net erscheint es am Mittwoch, 21. Oktober 2026, um 14:00 UTC, das sind 16:00 Uhr MESZ. Veröffentlicht wurde es früher als angekündigt, bei unserem Abruf um 15:37 Uhr MESZ stand es schon auf php.net: PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35 schließen zwei kritische Lücken (CVE-2026-109618 und CVE-2026-109619, beide CVSS v4.0 9.2). Laut php.net-Sicherheitshinweis können sie Codeausführung aus der Ferne ohne Anmeldung ermöglichen. Stand dieses Beitrags ist der 21. Oktober 2026, 15:40 Uhr (MESZ).
Das ist kein Shop-Update von JTL, sondern ein Update der Programmiersprache, auf der dein JTL-Shop läuft. Laut JTL-Kundeninformation vom 21.10.2026 betrifft das Shop 5 und die Connectoren für WooCommerce und PrestaShop. Hostet JTL deinen Shop, musst du laut JTL nichts tun. Hostest du selbst oder bei einem anderen Anbieter, liegt das Einspielen laut JTL beim Hoster oder bei dir selbst. Das Shop-Sicherheitsupdate 5.8.2 vom 14.10.2026 ist ein anderer Vorgang, er steht im Beitrag JTL-Shop Sicherheitsupdate 5.8.2.
- Das PHP-Projekt hat am 21.10.2026 PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35 veröffentlicht. Sie schließen zwei kritische Lücken (CVE-2026-109618, CVE-2026-109619). Laut php.net hilft vollständig nur das Update.
- Laut JTL-Kundeninformation vom 21.10.2026 (zusammengefasst von der Vlarom E-Commerce Agentur): Bei JTL-Hosting ist nichts zu tun. Wer selbst oder extern hostet, lässt den Hoster patchen oder nimmt den Shop vom Netz. Der Wartungsmodus reicht laut JTL nicht aus.
- PHP 8.1 ist seit dem 31.12.2025 beendet und bekommt laut php.net keine regulären Updates mehr. Ein Shop ab Version 5.7 braucht laut JTL-Guide mindestens PHP 8.3. Liegt dein Shop darunter, klärst du vor der PHP-Umstellung, ob er die neue PHP-Version trägt. Unter Umständen steht erst ein Shop-Update an.
Die Vlarom E-Commerce Agentur ist JTL Service Partner Gold aus Ahrensfelde bei Berlin und betreut über 300 aktive Kunden im JTL-Ökosystem, seit über 10 Jahren. Wir spielen JTL-Shop-Updates für Händler seit Jahren ein. Die Angaben in diesem Beitrag stammen von php.net, aus dem JTL-Guide, aus der JTL-Kundeninformation vom 21.10.2026 und aus den öffentlichen Mitteilungen der Hoster, abgerufen am 21.10.2026 zwischen 14:30 und 15:40 Uhr MESZ. Was bis dahin nicht belegbar war, steht als offen da. Das ist eine allgemeine Information und keine individuelle Sicherheitsberatung. Die Verantwortung für den Betrieb liegt beim Shopbetreiber und beim Hoster.
Das Update und die PHP-Versionen im Überblick
Die Lage ändert sich am Nachmittag stündlich. Prüfe die Angaben vor jeder Entscheidung noch einmal in der Ankündigung auf php.net und auf der Seite mit den unterstützten PHP-Versionen.
Wer den Shop selbst oder bei einem anderen Anbieter hostet, muss mit dem Hoster klären, wann welche PHP-Version gepatcht ist.
Die belegten Angaben im Überblick:
Das Release laut php.net
Angekündigt am 20.10.2026 für den 21.10.2026, 14:00 UTC (16:00 Uhr MESZ). Zwei kritische Lücken, beide CVSS v4.0 9.2. Veröffentlicht am 21.10.2026: Fixversionen 8.5.12, 8.4.27, 8.3.36 und 8.2.35, Lücken CVE-2026-109618 und CVE-2026-109619 (php.net-Sicherheitshinweis).
Supportlage der PHP-Branches (php.net)
PHP 8.2: Security-Support bis 31.12.2026. PHP 8.3: bis 31.12.2027. PHP 8.4: bis 31.12.2028. PHP 8.5: bis 31.12.2029. PHP 8.1 ist seit dem 31.12.2025 am Ende, die letzte Version war 8.1.34. PHP 8.0 endete schon am 26.11.2023.
Anforderung des Shops (JTL-Guide)
Laut JTL-Guide zur Neuinstallation benötigt JTL-Shop 5 ab Version 5.7 mindestens PHP 8.3. Für 5.8 verweist die Seite auf eine Grafik, die wir nicht lesen konnten. Für 5.6 steht dort keine PHP-Angabe.
Supportstand der Shop-Versionen (JTL-Guide)
Laut Übersicht der unterstützten Produktversionen, abgerufen am 21.10.2026: 5.8 und 5.7 ohne Einschränkung. 5.6 und 5.5 nur kritische Security Fixes und Support über das JTL-Forum. 5.4 lief bis 26.08.2026.
Ausnutzung
Laut php.net ist jede PHP-Installation betroffen, die Webanfragen verarbeitet (PHP-FPM, Apache mit mod_php, php-cgi, FrankenPHP, LiteSpeed). Das größte Risiko sieht php.net bei mod_php, dort wurde ein Angriff ohne Anmeldung vorgeführt. Ob die Lücken bereits ausgenutzt werden, steht dort nicht.
Es kommt auf deine PHP-Version an. Wer auf Shop 5.7 oder 5.8 läuft, liegt laut Guide bereits bei PHP 8.3 oder höher. Bei älteren Shops lohnt der Blick ins Hosting-Paket.
Was bedeutet das PHP-Update praktisch für deinen JTL-Shop?
Das PHP-Sicherheitsupdate trifft jeden JTL-Shop, egal welcher Version, weil PHP unter dem Shop liegt. Es kommt darauf an, wer es einspielt.
Variante 1: JTL hostet den Shop
Laut JTL-Kundeninformation vom 21.10.2026 musst du bei JTL-Hosting nichts tun. Eine öffentliche JTL-Meldung dazu haben wir bis 14:50 Uhr nicht gefunden, die Aussage stützt sich auf die Kundeninformation.
Ob und wann JTL das Update auf seinen Servern eingespielt hat, ist öffentlich bis jetzt nicht belegt. Wir behaupten dazu nichts.
Variante 2: Du hostest selbst oder extern
Laut JTL lässt du den Hoster patchen oder nimmst den Shop offline. Der Wartungsmodus reicht laut JTL nicht aus. Das ist die Einschätzung von JTL. Dass PHP auch im Wartungsmodus weiter Anfragen verarbeitet, erklärt das, belegt haben wir es aber nicht selbst.
Lies deshalb als Erstes nach, wer bei dir patcht und wann. Bei einem Managed-Hosting ist das der Anbieter, bei einem eigenen Server bist du es. Mehr zu den Unterschieden steht im Beitrag JTL-Shop Hosting: Anbieter und eigener Server.
Alte PHP-Version: erst das Shop-Update
PHP 8.1 und älter bekommen vom PHP-Projekt keine Updates mehr. Laut php.net gibt es für 7.4, 8.0 und 8.1 nur minimale Quellcode-Backports für Leute, die PHP selbst kompilieren, manche Distributionen liefern eigene Fixes. Für den normalen Shopbetrieb bleibt der Wechsel auf eine unterstützte Version.
Läuft dein Shop unter 5.7, erwartet er laut JTL-Guide mindestens PHP 8.3. Liegt er darunter, klärst du, ob er eine unterstützte PHP-Version trägt. Wenn nicht, läuft die Reihenfolge so: erst das Shop-Update auf eine Version, die eine unterstützte PHP-Version trägt, dann die PHP-Umstellung beim Hoster. Das Shop-Update selbst beschreiben wir auf der Seite JTL-Shop Update.
Was Hoster dazu schreiben (Stand 15:40 Uhr)
Wir geben unten nur wörtlich wieder, was die Anbieter auf ihren eigenen Seiten veröffentlicht haben, mit Zeitpunkt des Abrufs am 21.10.2026 zwischen 14:30 und 15:40 Uhr MESZ. Alle Zitate haben wir um 15:40 Uhr noch einmal gegen die Live-Seiten geprüft. Wir bewerten und vergleichen nichts. Statusseiten ändern sich laufend, und ein fehlender Eintrag heißt nicht, dass ein Anbieter nichts unternimmt: Kundencenter, Foren und Social Media haben wir nicht geprüft.
|
Wir helfen dir beim Update
Wie gehst du beim PHP-Update vor?
Sechs Schritte für heute und die nächsten Tage. Die Reihenfolge richtet sich danach, wer deinen Shop betreibt.
Hosting klären
Wer betreibt den Server, auf dem dein Shop läuft? Bei JTL-Hosting ist laut JTL-Kundeninformation vom 21.10.2026 nichts zu tun. Bei Selbsthosting oder einem anderen Anbieter geht es mit Schritt 2 weiter.
PHP-Version nachsehen
Schau beim Hoster nach, welche PHP-Version für deinen Shop eingestellt ist. Wo du das findest, hängt vom Anbieter ab (Kundencenter, Hosting-Panel oder Support). Wenn du nicht weiterkommst, frag den Support direkt.
Hoster fragen
Drei Fragen genügen: Wann wird das PHP-Update eingespielt? Für welche PHP-Version gibt es einen Fix? Welche vorläufigen Maßnahmen gelten bis dahin, und können sie Funktionen deines Shops einschränken?
Bei PHP 8.1 und älter: Umstellung planen
Die Version bekommt laut php.net keine regulären Updates mehr. Unterstützt werden laut php.net derzeit 8.2 bis 8.5. Für Shop 5.7 und neuer ist das mindestens PHP 8.3. Liegt dein Shop darunter, klärst du zuerst, ob er die neue PHP-Version trägt, und planst bei Bedarf vorher das Shop-Update. Mit Backup, in einer Testumgebung, dann live.
Alternative laut JTL: Shop offline nehmen
Wenn der Hoster nicht patcht und du es nicht selbst kannst, nennt JTL als Weg, den Shop vom Netz zu nehmen. Der Wartungsmodus reicht laut JTL nicht. Das kostet Umsatz, die Entscheidung liegt bei dir.
Nach dem Update kontrollieren
Prüfe nach dem Einspielen die Fixversion, die dein Hoster gesetzt hat, gegen die Angaben auf php.net. Teste anschließend Bestellstrecke, Uploads und den Abgleich mit der Warenwirtschaft. Gefixt sind laut php.net 8.5.12, 8.4.27, 8.3.36 und 8.2.35 sowie jeweils neuere Versionen.
