Das ist bekannt

Die beiden Lücken tragen die Kennungen CVE-2026-109618 und CVE-2026-109619 und sind nach CVSS 4.0 jeweils mit 9,2 von 10 Punkten bewertet. Nach Angaben des PHP-Projekts kann ein Angreifer darüber ohne Anmeldung Schadcode auf dem Server ausführen.

Bei CVE-2026-109618 kann PHP bei Speichermangel mitten in der Verarbeitung einer Anfrage unterbrochen werden, sodass interne Daten nur halb vorbereitet sind. Die anschließende Aufräumroutine hält diese Daten dann für gültig. Bei CVE-2026-109619 bleibt interner Zustand einer Anfrage bestehen, obwohl sein Speicher schon freigegeben wurde, und eine spätere Anfrage im selben Worker kann ihn verwenden.

Betroffen ist jede PHP-Installation, die Webanfragen bedient, also PHP-FPM, Apache mit mod_php, php-cgi, FrankenPHP und LiteSpeed. Am höchsten schätzt das PHP-Projekt das Risiko bei mod_php ein, dort ist ein Angriff nachgewiesen, der ausgelöst wird, bevor Anwendungscode läuft. Nach den Warnungen unter anderem von CERT-EU reicht die Lücke zurück bis mindestens PHP 5.

Wie groß die Gefahr ist

Bis zur Veröffentlichung waren keine bestätigten Angriffe bekannt. Das BSI hielt es für wahrscheinlich, dass die Lücken innerhalb weniger Stunden nach Erscheinen der Patches breit ausgenutzt werden, auch weil sich Patches heute mit KI-gestützten Werkzeugen schnell analysieren lassen. heise security rechnete mit funktionierenden Exploits innerhalb von Stunden, spätestens binnen Tagen.

Das PHP-Projekt stellt klar, dass es keine vollständigen Workarounds gibt und nur das Update sicher ist. Zusätzliche Einstellungen decken lediglich einzelne Angriffswege ab. Das gilt auch für session.upload_progress.enabled=0, das nach Angaben des PHP-Projekts nur die bestätigten Wege über Sessions blockiert, andere Varianten aber nicht. heise security hatte diese Einstellung zunächst als wirkungslos eingestuft. Verlassen Sie sich deshalb nicht darauf.

Was jetzt zu tun ist

Kunden mit gebuchtem Service müssen nichts unternehmen. Wir kümmern uns automatisch um die Updates ihrer Systeme.

Wer seine Website selbst betreibt, geht je nach Hosting unterschiedlich vor. Bei Plesk kommen die gepatchten PHP-Versionen über die Plesk-Updates (Tools & Settings, Updates). Auf einem eigenen Server oder VPS wird PHP meist über die Paketverwaltung der Linux-Distribution aktualisiert, zum Beispiel mit apt. Die Distributionen liefern Korrekturen oft als Backport unter einer eigenen Versionsnummer aus. Vergleichen Sie Ihre Version deshalb mit dem Sicherheitshinweis Ihrer Distribution. Außerdem zeigt php -v nur die Version der Kommandozeile, der Webserver kann eine andere nutzen. Wer das Remi-Repository einsetzt, bekommt nach Angaben des PHP-Projekts heute keine Updates und sollte auf Distributionspakete wechseln oder selbst bauen. Wer Docker einsetzt, baut die Images mit gepatchtem PHP neu und startet die Container neu, ein Update auf dem Host genügt nicht. Bei Managed Hosting fragen Sie Ihren Anbieter, ob und wann er die Updates einspielt.

Prüfen Sie nach dem Update, ob die PHP-Dienste neu gestartet wurden, und beobachten Sie exponierte Webserver einige Tage genauer, zum Beispiel in den Logs. Prüfen Sie auch Software, die selbst auf PHP basiert, etwa Nextcloud oder die Firewall-Systeme pfSense und OPNsense, ob deren Hersteller schon Updates bereitstellen.

Alte PHP-Versionen jetzt ablösen

PHP 8.1 und älter erhalten vom PHP-Projekt keine Updates mehr. Manche Distributionen und LTS-Anbieter liefern Korrekturen als Backport, außerdem stellt das PHP-Projekt für PHP 7.4, 8.0 und 8.1 minimale Quellcode-Backports bereit, falls Sie selbst bauen. Planen Sie trotzdem den Umzug auf eine unterstützte Version. PHP 8.2 erhält nur noch bis zum 31. Dezember 2026 Sicherheitsupdates. Testen Sie vor dem Umzug, ob Ihr CMS, Ihr Shop und Ihre Plugins mit der neuen Version laufen.

Aktualisiert am 21. Oktober 2026: Das PHP-Projekt hat die Updates veröffentlicht, die korrigierten Versionen stehen oben im Beitrag.

Quellen

• PHP-Projekt: Security Advisory zu den kritischen Lücken – Versionen, Details und Teilmaßnahmen.
• PHP-Projekt: Vorankündigung des Security-Releases – Termin und Bewertung.
• heise security: Wichtige PHP-Updates am 21. Oktober beheben Codeeinschleusung-Schwachstellen – Einschätzung zu Exploits und Workarounds.
• BSI: Meldung zur Bedrohungslage, Stufe 3 / Orange (Kennzeichen 297981, 21.10.2026) – Bewertung der Lage und Maßnahmen.
• CERT-EU: Security Advisory 2026-018 – Warnung vor den kritischen PHP-Lücken.

Sie sind unsicher, welche PHP-Version bei Ihnen läuft, oder möchten das Update nicht selbst einspielen? Schreiben Sie uns kurz: info@pixelutions.de

Was das BFSG verlangt

Das Gesetz setzt die EU-Richtlinie 2019/882 (European Accessibility Act) in deutsches Recht um. Digitale Angebote sollen so gestaltet sein, dass Menschen mit Behinderungen sie möglichst selbstständig nutzen können. Erfasst sind unter anderem Online-Shops und Online-Marktplätze, soweit sie sich an Verbraucher richten.

Was an den Abmahnungen auffällt

Nach Auswertungen des Händlerbunds wurde den betroffenen Unternehmen in vielen Fällen pauschal vorgeworfen, Website oder Shop seien nicht barrierefrei. Welche Verstöße konkret bestehen sollen, blieb häufig offen.

Die IT-Recht Kanzlei hält die von ihr beobachteten Abmahnungen für unberechtigt. Ihr Argument: Die Abmahner bieten Leistungen an, die mit denen der abgemahnten Warenhändler nicht vergleichbar sind, und stehen deshalb nicht in einem Wettbewerbsverhältnis zu ihnen. Ob eine konkrete Abmahnung berechtigt ist, hängt dennoch vom Einzelfall ab und sollte rechtlich geprüft werden.

Wen das Gesetz betrifft

• Betroffen sind grundsätzlich Online-Shops, die sich zumindest auch an Verbraucher (B2C) richten.
• Reine B2B-Shops fallen nicht unter die Pflicht.
• Kleinstunternehmen (weniger als 10 Beschäftigte und ein Jahresumsatz oder eine Jahresbilanzsumme von höchstens 2 Mio. Euro, § 2 Nr. 17 BFSG) müssen ihren Shop selbst nicht barrierefrei gestalten (§ 3 Abs. 3 BFSG). Wie gezählt wird und was das für Selbstständige bedeutet, steht im nächsten Abschnitt.

Gilt die Ausnahme auch für Selbstständige und Einzelunternehmer?

Ja, auch Selbstständige können unter die Kleinstunternehmen-Ausnahme fallen. Das BFSG regelt nicht selbst, wie die Zahl der Beschäftigten berechnet wird, sondern greift auf die EU-Empfehlung 2003/361/EG zurück. Danach zählen Jahresarbeitseinheiten: Eine Vollzeitkraft über ein ganzes Jahr entspricht 1, Teilzeit- und Saisonkräfte zählen anteilig. Mitgezählt werden unter anderem:

• Angestellte mit Arbeitsvertrag,
• Inhaber eines Einzelunternehmens, die operativ mitarbeiten,
• Teilhaber, die regelmäßig im Unternehmen tätig sind (zum Beispiel in einer GbR oder OHG),
• weisungsgebundene freie Mitarbeiter.

Nicht mitgezählt werden Auszubildende, Praktikanten ohne reguläres Arbeitsverhältnis, Langzeitabwesende (zum Beispiel in Elternzeit) sowie reine Kapitalgeber und stille Teilhaber.

Ein Solo-Selbstständiger zählt demnach als eine Person. Bleibt der Jahresumsatz oder die Bilanzsumme bei höchstens 2 Mio. Euro, liegt er unter beiden Schwellenwerten. Beide Bedingungen müssen gemeinsam erfüllt sein: Ein Shop mit nur drei Mitarbeitenden, aber drei Millionen Euro Umsatz ist laut Händlerbund nicht befreit.

Die Ausnahme gilt nur für Dienstleistungen, also für den Online-Shop selbst. Wer Produkte anbietet, die unter das BFSG fallen, muss diese unabhängig von der Unternehmensgröße barrierefrei gestalten. Ob Sie im Einzelfall wirklich als Kleinstunternehmen gelten, lassen Sie im Zweifel rechtlich prüfen.

Wenn eine Abmahnung kommt

Ruhe bewahren ist der wichtigste Rat. Konkret empfehlen wir:

• Notieren Sie das Eingangsdatum und die gesetzte Frist.
• Unterschreiben Sie die vorformulierte Unterlassungserklärung nicht ohne rechtliche Beratung, denn sie hat weitreichende Folgen.
• Lassen Sie die Abmahnung von einer Kanzlei prüfen, die sich mit IT- oder Wettbewerbsrecht auskennt.
• Dokumentieren Sie den technischen Zustand Ihres Shops, zum Beispiel mit Screenshots und einem Barrierefreiheits-Scan.

Typische Schwachstellen im Shop

Unabhängig von Abmahnungen lohnt sich ein Blick auf die Stellen, die sich meist ohne großen Aufwand beheben lassen:

• Alternativtexte bei Produktbildern, die das Produkt eindeutig beschreiben,
• ein Bestellprozess, der sich komplett per Tastatur bedienen lässt,
• ausreichende Farbkontraste und gut lesbare Schriftgrößen,
• beschriftete Formularfelder und verständliche Fehlermeldungen,
• korrekt gesetzte Sprachangaben, auch bei mehrsprachigen Shops,
• eine Erklärung zur Barrierefreiheit, die den aktuellen Stand beschreibt.

Dieser Beitrag ersetzt keine Rechtsberatung. Bei einer konkreten Abmahnung oder Unsicherheit über Ihre Pflichten sollten Sie sich anwaltlich beraten lassen.

Quellen

• IT-Recht Kanzlei: Neue Abmahnwelle zur Barrierefreiheit – Einschätzung und Muster-Reaktionsschreiben.
• Händlerbund: BFSG-Abmahnung – Was Sie tun sollten – Auswertung typischer Abmahnmuster.
• ePages: Barrierefreiheit von Online-Shops (Gastbeitrag der IT-Recht Kanzlei) – wer betroffen ist und welche Ausnahmen gelten.
• Händlerbund: Wie berechnet man die Mitarbeiterzahl? – Zählweise der Beschäftigten mit Beispiel.
• Händlerbund: Kleinstunternehmen und das BFSG – wer sich auf die Ausnahme berufen kann.
• EU-Empfehlung 2003/361/EG (EUR-Lex) – Definition der Kleinstunternehmen.

Sie möchten Ihren Shopware-, WooCommerce- oder Shopify-Shop auf Barrierefreiheit prüfen und technisch anpassen lassen? Schreiben Sie uns: info@pixelutions.de

Woher die Pflicht kommt

Grundlage ist die sogenannte EmpCo-Richtlinie (EU) 2024/825 („Empowering Consumers for the Green Transition“), die Verbraucher- und Umweltschutz im Kaufrecht stärken soll. Die Gestaltung der Labels legt die Durchführungsverordnung (EU) 2025/1960 bis ins Detail fest. Ein eigenes Layout ist damit nicht erlaubt, Sie müssen die amtliche Vorlage verwenden.

Gewährleistungslabel und Garantielabel

Das Gewährleistungslabel müssen praktisch alle Händler verwenden, die Waren an Verbraucher verkaufen, auch wenn sie keine zusätzliche Garantie anbieten. Es informiert über das gesetzliche Gewährleistungsrecht: die Dauer (in der Regel zwei Jahre, bei Gebrauchtware gegebenenfalls verkürzt auf ein Jahr), die Rechte bei einem Mangel und einen QR-Code mit weiteren Informationen.

Das Garantielabel („GARAN“) kommt nur ins Spiel, wenn eine Herstellergarantie drei Voraussetzungen zugleich erfüllt: Sie ist für den Verbraucher kostenlos, sie läuft länger als zwei Jahre, und der Hersteller hat den Händler darüber informiert. Reine Händlergarantien fallen nicht darunter, auch kostenlose nicht.

Vorgaben zur Gestaltung

• Das Label muss exakt und unverändert übernommen werden. Farben und Elemente dürfen Sie nicht an Ihr Corporate Design anpassen.
• Händler mit Sitz in Deutschland verwenden die deutsche Sprachfassung.
• Bei Fernabsatzverträgen über eine Online-Benutzeroberfläche ist nur die farbige Version zulässig.
• Der enthaltene QR-Code muss sich mit einem handelsüblichen Mobilgerät lesen lassen.
• Das Label muss schon vor Abschluss der Bestellung deutlich sichtbar sein. Ein Hinweis im Footer, in den AGB oder hinter einem unauffälligen Link genügt nicht.
• Bei Fernabsatzverträgen darf das Label geschachtelt dargestellt werden, muss aber spätestens beim ersten Klick, Mouseover oder Antippen vollständig sichtbar sein.

Das Garantielabel gehört außerdem direkt auf die jeweilige Produktseite, weil jede Garantie individuell ist.

Wen die Pflicht trifft

Betroffen ist jeder Händler, der Verbrauchern Waren verkauft, online wie stationär. Anbieter rein digitaler Produkte oder Dienstleistungen ohne körperliche Ware sind ausgenommen. Auch reine B2B-Shops mit vorgeschalteter Gewerbeprüfung fallen nicht unter die Pflicht. Wer aber auch nur teilweise an Verbraucher verkauft, muss die Labels bereitstellen.

Was bei Verstößen droht

Die Vorgaben gelten europaweit einheitlich und lassen sich von außen leicht überprüfen. Deshalb ist damit zu rechnen, dass Mitbewerber und Verbraucherschutzverbände genauer hinsehen. Fehlende, fehlerhafte oder falsch platzierte Labels können kostenpflichtig abgemahnt werden.

So gehen Sie vor

• Prüfen Sie, ob und für welche Produkte Herstellergarantien im Sinne der neuen Regelung vorliegen.
• Besorgen Sie die amtliche Label-Vorlage in der passenden Sprachfassung, verfügbar über das EU-Portal EUR-Lex beziehungsweise die zuständigen Stellen.
• Kontrollieren Sie, ob das Label in Ihrem Shop vor Vertragsabschluss und auf den Produktseiten richtig platziert ist. Falls nicht, holen Sie das jetzt nach.
• Prüfen Sie Ihre Rechtstexte (AGB, Widerrufsbelehrung) auf nötige Anpassungen.

Dieser Beitrag ersetzt keine Rechtsberatung. Lassen Sie die Umsetzung für Ihren konkreten Shop im Zweifel zusätzlich anwaltlich prüfen.

Quellen

• Durchführungsverordnung (EU) 2025/1960 im EU-Amtsblatt (EUR-Lex) – die amtliche Vorlage für Gestaltung und Inhalt der Labels.
• Richtlinie (EU) 2024/825 – „EmpCo-Richtlinie“ (EUR-Lex) – die zugrunde liegende Verbraucherschutzrichtlinie.
• IHK Köln: Garantien und Gewährleistung – neue Informationspflichten – praxisnahe Einordnung für Händler.

Sie möchten die neuen Labels in Ihren Shopware-, WooCommerce- oder Shopify-Shop einbinden lassen? Schreiben Sie uns: info@pixelutions.de

Hintergrund der Pflicht

Die Regelung beruht auf der EU-Richtlinie (EU) 2023/2673 und ist in Deutschland als neuer § 356a BGB umgesetzt. Der Gedanke dahinter: Wer einen Vertrag online abschließen kann, soll ihn auch online widerrufen können, und zwar genauso einfach. Zusätzlich zu E-Mail oder Brief muss deshalb eine elektronische Widerrufsfunktion bereitstehen.

Wen die Pflicht trifft

Betroffen sind alle Unternehmer, die mit Verbrauchern Fernabsatzverträge über eine Online-Benutzeroberfläche schließen. Dazu zählen klassische Onlineshops, Buchungsplattformen, Abo-Modelle und Angebote über Marktplätze wie eBay oder Amazon. Reine B2B-Angebote sind nicht betroffen, weil Unternehmern kein gesetzliches Widerrufsrecht zusteht. Auch wer ausschließlich telefonisch, per E-Mail-Korrespondenz oder im Ladengeschäft verkauft, fällt nicht unter die Pflicht.

Anforderungen an den Button

Der Gesetzgeber macht dafür konkrete Vorgaben:

• Die Beschriftung muss klar und eindeutig sein, zum Beispiel „Vertrag widerrufen“.
• Der Button muss leicht auffindbar sein und darf nicht hinter einem Login oder einer Registrierung liegen.
• Pop-ups oder andere Elemente dürfen ihn nicht verdecken.
• Der Widerruf darf nicht schon mit dem ersten Klick ausgelöst werden. Zuerst folgt ein Formular zur Identifizierung des Vertrags, danach eine gesonderte Bestätigung.
• Ein Grund für den Widerruf darf nicht zwingend abgefragt werden.
• Nach Eingang des Widerrufs muss der Kunde unverzüglich eine Bestätigung erhalten, etwa per E-Mail.

Auch die Widerrufsbelehrung müssen Sie anpassen. Sie muss künftig auf die Online-Widerrufsfunktion hinweisen.

Folgen bei Nichtumsetzung

Fehlt die Widerrufsfunktion oder ist sie fehlerhaft, drohen Abmahnungen. Außerdem kann sich die Widerrufsfrist in solchen Fällen erheblich verlängern. Weil sich die Vorgaben von außen leicht überprüfen lassen, ist mit mehr Abmahnungen zu rechnen.

So gehen Sie vor

• Klären Sie zuerst, ob und für welche Angebote ein gesetzliches Widerrufsrecht besteht.
• Fragen Sie bei Ihrem Shopsystem-Anbieter nach, ob schon eine Lösung bereitsteht. Viele große Systeme haben inzwischen entsprechende Updates veröffentlicht.
• Passen Sie Widerrufsbelehrung und Datenschutzerklärung an.
• Legen Sie intern fest, wer elektronische Widerrufe bearbeitet und wie.

Bei individuell entwickelten Shops und Speziallösungen ohne automatisches Update ist meist eine gezielte technische Anpassung nötig, damit der Button rechtssicher eingebunden wird.

Dieser Beitrag ersetzt keine Rechtsberatung. Lassen Sie die Umsetzung für Ihren konkreten Shop im Zweifel zusätzlich anwaltlich prüfen.

Quellen

• Richtlinie (EU) 2023/2673 im EU-Amtsblatt (EUR-Lex) – der Originaltext der zugrunde liegenden EU-Richtlinie.
• Verbraucherzentrale: Widerrufsbutton ab Juni 2026 – verständliche Einordnung aus Verbrauchersicht.
• Europäisches Verbraucherzentrum Deutschland: Widerrufsbutton – Hintergrund und praktische Hinweise.

Sie möchten den Widerrufsbutton in Ihren Shopware-, WooCommerce- oder Shopify-Shop einbauen lassen? Schreiben Sie uns: info@pixelutions.de