Am 21. Oktober 2026 hat das BSI vor kritischen Schwachstellen in PHP gewarnt und ein Sicherheitsupdate „noch heute“ verlangt. PHP läuft unter WooCommerce, Shopware, Magento und vielen anderen Shopsystemen. Für Händler mit eigenem Server heißt das: sofort patchen, prüfen, hoffen. Für Shopify-Händler heißt es: nichts tun. Und genau deshalb gibt es nur eine Lösung, die dauerhaft trägt: den Umzug.
Was das BSI gemeldet hat
Laut Pressemitteilung des BSI könnten Angreifer über die Lücken aus der Ferne Schadcode auf Webservern ausführen. Nach aktuellem Stand sind alle bekannten PHP-Versionen bis mindestens PHP 5 verwundbar. Das BSI hält eine großflächige Ausnutzung innerhalb weniger Stunden nach Veröffentlichung der Updates für wahrscheinlich, weil Angreifer mit KI-Werkzeugen schnell passende Angriffe bauen.
Das PHP-Projekt hat am selben Tag die Versionen 8.5.12, 8.4.27, 8.3.36 und 8.2.35 veröffentlicht. Laut php.net betreffen die beiden Lücken (CVE-2026-109618 und CVE-2026-109619, CVSS 9.2) alle PHP-Installationen, die Webanfragen beantworten. Ein Login braucht der Angreifer nicht.
PHP 8.1 und älter bekommen vom PHP-Projekt keine Updates mehr. Wer darauf läuft, hat kein Update, das er einspielen könnte.
Was das für deinen Onlineshop heißt
Läuft dein Shop auf WooCommerce, Shopware, Magento, Gambio, JTL-Shop, OXID oder PrestaShop, läuft darunter PHP. Dasselbe gilt für fast jede WordPress-Seite. Dann stellen sich jetzt drei Fragen:
- Ist das Update schon drauf? Nicht nur beim Shop, beim Server selbst. Das macht dein Hoster oder deine Agentur, oder niemand.
- Läuft der Shop danach noch? Plugins und Themes vertragen nicht jedes PHP-Update. Ein Sprung auf eine neue Version kann Checkout oder Schnittstellen brechen.
- War vorher schon jemand drin? Zwischen Bekanntwerden und Patch liegen oft Stunden. Wer dann nicht prüft, merkt einen Einbruch erst, wenn Kundendaten auftauchen oder Google den Shop als gefährlich markiert.
Das größte Risiko liegt oft neben dem Shop
Oft ist der Shop selbst gar nicht das Problem, sondern das, was daneben noch online ist:
- der alte Shop, der nach dem letzten Wechsel nie abgeschaltet wurde
- eine WordPress-Landingpage für eine Aktion, die längst vorbei ist
- ein Kontaktformular oder Blog, für das sich niemand mehr zuständig fühlt
Auch diese Systeme laufen auf PHP und brauchen dasselbe Update. Werden sie vergessen, steht dort eine offene Tür, oft auf derselben Domain wie dein Shop.
Das ist kein einmaliges Ereignis. PHP-, Plugin- und Server-Updates kommen jede Woche. Die Meldung vom 21. Oktober ist nur eine besonders laute.
Patchen ist keine Lösung, nur ein Aufschub
Ein Update schließt diese eine Lücke. Die eigentliche Frage ist: Wie oft willst du das noch machen? Die nächste Lücke kommt bestimmt, und mit ihr dieselbe Frage: Hat jemand rechtzeitig gepatcht, und läuft der Shop danach noch? Solange dein Shop auf einem eigenen PHP-Server läuft, bleibt dieses Risiko bei dir.
Warum nur der Umzug auf Shopify das Problem löst
Shopify ist eine gehostete Plattform, und dein Shop läuft dort nicht auf einem PHP-Server, den du betreiben musst. Server, Software und Sicherheitsupdates liegen bei Shopify, nicht bei dir. Ein Tag wie der 21. Oktober ist für Shopify-Händler ein ganz normaler Arbeitstag. Für dich heißt das:
- Keine Server-Updates. Es gibt kein PHP, das du patchen musst, und keine Nachtschicht, wenn das BSI warnt.
- Keine Update-Angst. Kein Plugin, das nach einem Versionssprung den Checkout lahmlegt.
- Kein Wartungsvertrag nur für Updates. Das Geld geht in Marketing und Produkte statt in die Pflege der Technik.
- Zahlungsdaten nach PCI DSS. Shopify ist nach dem Sicherheitsstandard der Kartenzahlungsbranche zertifiziert, auch das musst du nicht selbst nachweisen.
Die Frage „ist mein Server sicher?“ stellt sich nicht mehr, weil es keinen Server mehr gibt, um den du dich kümmern musst. Deine Aufgabe bleibt nur das Übliche: Apps aufgeräumt halten und Zugänge mit Zwei-Faktor-Login schützen.
Warum gerade jetzt der richtige Zeitpunkt ist
Viele Händler schieben die Shop-Migration seit Jahren vor sich her. Der Shop läuft ja. Genau das ändert sich, wenn die PHP-Version nicht mehr unterstützt wird oder ein großes Update den halben Shop umbauen würde. Dann kostet das Weiterbetreiben fast so viel wie der Umzug, nur ohne den Fortschritt.
Ein Shop-Umzug hat drei Vorteile, wenn du ihn planst statt unter Druck:
- Du entscheidest den Zeitpunkt, nicht die nächste Sicherheitslücke.
- Du nimmst Rankings mit. Mit sauberen Weiterleitungen bleibt der organische Traffic, siehe Shop-Wechsel ohne Ranking-Verlust.
- Du räumst auf. Alte Plugins, doppelte Kategorien und tote Produktseiten bleiben im alten System. Und das alte System wird danach wirklich abgeschaltet, statt als offene Tür weiterzulaufen.
So läuft eine Shop-Migration zu Shopify
- Bestand aufnehmen. Produkte, Varianten, Kunden, Bestellhistorie, Schnittstellen zu Warenwirtschaft und Versand.
- Daten übertragen. Produkte und Kunden per Import, Bestellungen für Auswertungen und Kundenkonten.
- Theme und Funktionen bauen. Was vorher ein Plugin war, ist bei Shopify oft Standard oder eine gepflegte App.
- Weiterleitungen anlegen. Jede alte URL auf ihr neues Ziel, damit Google und deine Kunden nicht ins Leere laufen.
- Testen und umziehen. Domain umstellen, Tracking prüfen, alte Adressen per Skript abrufen.
Ob WooCommerce zu Shopify, Shopware zu Shopify oder Magento zu Shopify: Der Ablauf ist derselbe. Der Aufwand hängt vor allem davon ab, wie viele Schnittstellen und Sonderfunktionen dein alter Shop hat.
Patchen verschiebt das Problem. Der Shop-Umzug beendet es.
Häufige Fragen
Ist mein Shopify-Shop von der PHP-Sicherheitslücke betroffen?
Shopify-Händler betreiben keinen eigenen PHP-Server. Die Plattform und ihre Sicherheitsupdates liegen bei Shopify, du musst dafür nichts einspielen.
Welche Shopsysteme laufen auf PHP?
Unter anderem WooCommerce, Shopware, Magento (Adobe Commerce), Gambio, JTL-Shop, OXID und PrestaShop, dazu fast jede WordPress-Seite. Wer einen dieser Shops selbst oder bei einem Hoster betreibt, ist für die PHP-Updates des Servers verantwortlich.
Was muss ich jetzt sofort tun, wenn mein Shop auf PHP läuft?
Beim Hoster oder der Agentur klären, ob PHP auf 8.5.12, 8.4.27, 8.3.36 oder 8.2.35 aktualisiert wurde. Bei PHP 8.1 oder älter gibt es vom PHP-Projekt kein Update mehr, dann ist ein Versionswechsel oder ein Shop-Umzug fällig.
Wie lange dauert ein Shop-Umzug auf Shopify?
Je nach Sortiment und Schnittstellen meist einige Wochen. Ein kleiner Shop mit Standardfunktionen geht deutlich schneller als einer mit Warenwirtschaft, B2B-Preisen und mehreren Sprachen.
Verliere ich bei einer Shop-Migration meine Google-Rankings?
Ja und nein. Ein kleiner Rückgang direkt nach dem Umzug lässt sich nicht ganz verhindern, weil Google die neuen Seiten erst neu einlesen muss. Zeigt jede alte URL per Weiterleitung auf die passende neue Seite, bleiben die Rankings aber stabil. Ohne Weiterleitungen fällt der organische Traffic meist deutlich ab.
