PHP: Zwei kritische Sicherheitslücken – Sicherheitsupdate am 21. Oktober um 16:00 Uhr, jetzt Patch vorbereiten

Das PHP-Sicherheitsteam hat für Mittwoch, den 21. Oktober 2026, um 16:00 Uhr deutscher Zeit ein außerplanmäßiges Sicherheitsupdate angekündigt. Es schließt zwei kritische Schwachstellen, die jeweils mit CVSS 9,2 bewertet sind. CERT-EU sieht darin das Potenzial für Angriffe aus dem Internet ohne vorherige Anmeldung, das BSI stuft die Lage als kritisch ein. Wer Websites, Shops oder Portale auf PHP-Basis betreibt, sollte die Stunden bis zum Release nutzen.

Das Wichtigste in Kürze

• Produkt: PHP, die Skriptsprache hinter vielen Webanwendungen – unter Linux, UNIX und Windows
• Schwachstellen: CVE-2026-109618 und CVE-2026-109619
• Bewertung: je CVSS v4.0 9,2 (PHP-Projekt); BSI: CVSS-Basiswert 9,8, „kritisch“
• Risiko: Angriff aus der Ferne möglich; laut CERT-EU potenziell Ausführung von Schadcode ohne Anmeldung
• Update: 21.10.2026, 16:00 Uhr MESZ (14:00 UTC) – bei Bedarf auch früher
• Jetzt tun: PHP-Anwendungen erfassen, Update-Fenster einplanen, internetexponierte Systeme priorisieren

Was bisher bekannt ist

Am 20. Oktober 2026 hat das PHP-Projekt die Vorabankündigung veröffentlicht. Darin ist von zwei kritischen Schwachstellen die Rede, beide mit dem CVSS-v4.0-Wert 9,2. Technische Details, betroffene Versionen und die korrigierten Versionen erscheinen erst mit dem Release. So bleibt Betreibern Zeit, sich vorzubereiten, bevor Angreifer die Einzelheiten kennen.

Das PHP-Team behält sich vor, das Update früher zu veröffentlichen. Das gilt für den Fall, dass Details vorab öffentlich werden oder Hinweise auf aktive Angriffe auftauchen. Zum Zeitpunkt der Ankündigung waren keine solchen Hinweise bekannt.

CERT-EU, das Cybersicherheitszentrum der EU-Institutionen, wertet die hohe Einstufung als Hinweis auf mögliche Remote Code Execution ohne Authentifizierung. Gemeint ist: Ein Angreifer könnte über das Netz eigenen Programmcode auf dem Server ausführen, ohne sich vorher anzumelden. CERT-EU schließt zudem nicht aus, dass alle Versionen ab PHP 5 betroffen sind. Das BSI führt die Schwachstellen in seinem Warn- und Informationsdienst unter WID-SEC-2026-4055 mit einem CVSS-Basiswert von 9,8.

Warum das Thema so viele Unternehmen betrifft

PHP steckt in einem großen Teil der Webanwendungen. Content-Management-Systeme, Onlineshops, Kundenportale, Intranets und Collaboration-Plattformen laufen häufig auf PHP. Oft liegt das nicht offen auf der Hand: Die Unternehmenswebsite betreut eine Agentur, das Portal läuft beim Hoster, ein internes Tool wurde vor Jahren aufgesetzt und läuft seitdem still mit.

Genau diese Systeme sind aus dem Internet erreichbar und damit ein naheliegendes Ziel. Sobald Patches erscheinen, werten Angreifer sie erfahrungsgemäß schnell aus, um die Lücke zu verstehen. Der Zeitraum zwischen Release und ersten Angriffen kann kurz sein. Wer vorbereitet ist, verkürzt das eigene Risikofenster deutlich.

Betroffene Versionen und Update-Stand

Die genaue Liste der betroffenen Versionen veröffentlicht das PHP-Projekt mit dem Release. Die folgende Übersicht zeigt die derzeit offiziell unterstützten Versionszweige. Für sie ist mit korrigierten Versionen zu rechnen.

Ältere Versionen wie PHP 7.x oder 8.1 erhalten vom PHP-Projekt keine Updates mehr. Linux-Distributionen liefern für ihre PHP-Pakete teils eigene, rückportierte Sicherheitsupdates. Hier lohnt der Blick in die Sicherheitshinweise der eingesetzten Distribution. Wo kein Update kommt, ist der Umstieg auf einen unterstützten Versionszweig der nachhaltige Weg.

Was Sie jetzt tun sollten

Bis zum Release

1. Inventar erstellen: Alle Systeme erfassen, auf denen PHP läuft – eigene Server, gehostete Websites, Shops, Portale, interne Tools. Dazu gehört auch die jeweils eingesetzte PHP-Version.
2. Priorisieren: Aus dem Internet erreichbare Anwendungen zuerst einplanen.
3. Verantwortliche klären: Bei extern betreuten Websites Agentur oder Hoster kontaktieren und den Zeitpunkt des Updates abstimmen.
4. Update-Fenster reservieren: Für den Abend des 21. Oktober bzw. den Folgetag Kapazitäten und ein kurzes Wartungsfenster einplanen.
5. Rückfallebene sichern: Aktuelle Backups bzw. Snapshots der betroffenen Systeme anlegen.

Nach dem Release

1. Zeitnah aktualisieren: Korrigierte PHP-Versionen bzw. die Updates der eingesetzten Distribution einspielen und Dienste (z. B. PHP-FPM, Webserver) neu starten.
2. Version prüfen: Kontrollieren, dass die neue Version tatsächlich aktiv ist – etwa über php -v und die Ausgabe der Webanwendung.
3. Übergangslösung: Lässt sich ein System nicht sofort aktualisieren, empfiehlt CERT-EU, internetexponierte Anwendungen bis zum Patch vom öffentlichen Netz zu trennen.
4. Hinweise verfolgen: Die Advisories von PHP-Projekt, BSI und CERT-EU auf Aktualisierungen prüfen.

Hinweise auf eine Kompromittierung

Indikatoren für eine Kompromittierung (IoCs) sind bislang nicht veröffentlicht, ebenso keine technischen Details. Solange das so bleibt, helfen allgemeine Prüfungen: auffällige Anfragen in den Webserver-Logs, unbekannte Dateien in Web-Verzeichnissen, unerwartete Prozesse des Webserver-Benutzers und ungewöhnliche ausgehende Verbindungen. Sobald konkrete Merkmale bekannt werden, sollten sie in Monitoring und Security-Tools einfließen.

Pflichten nach NIS-2 und DSGVO

Zeitnahes Patchen ist mehr als gute Praxis. Unternehmen, die unter das NIS-2-Umsetzungsgesetz fallen, müssen Risikomanagementmaßnahmen nach dem Stand der Technik umsetzen. Ein strukturiertes Schwachstellen- und Patch-Management gehört dazu, die Verantwortung liegt bei der Geschäftsleitung.

Kommt es zu einem erheblichen Sicherheitsvorfall, greift das gestufte Meldeverfahren an das BSI: eine Frühwarnung innerhalb von 24 Stunden, eine Meldung innerhalb von 72 Stunden und ein Abschlussbericht nach einem Monat.

Die DSGVO verlangt in Art. 32 angemessene technische und organisatorische Maßnahmen zum Schutz personenbezogener Daten. Werden über eine kompromittierte Webanwendung solche Daten abgegriffen, ist die Verletzung nach Art. 33 DSGVO in der Regel binnen 72 Stunden der zuständigen Aufsichtsbehörde zu melden. Eine dokumentierte, schnelle Reaktion auf Warnungen wie diese ist daher auch ein Nachweis gegenüber Behörden und Auditoren.

Häufige Fragen

Bin ich betroffen, wenn meine Website bei einem Hoster liegt?

Möglicherweise ja. Viele Hoster aktualisieren PHP auf ihren Plattformen selbst, das gilt aber nicht für jedes Paket. Klären Sie mit dem Hoster oder der betreuenden Agentur, wann das Update eingespielt wird.

Reicht es, das CMS oder den Shop zu aktualisieren?

Nein. Die Schwachstellen betreffen PHP selbst, also die Laufzeitumgebung unter der Anwendung. Entscheidend ist das Update der PHP-Installation. Updates der Anwendung bleiben trotzdem sinnvoll.

Was ist mit Systemen auf alten PHP-Versionen?

Für Versionszweige ohne offiziellen Support ist kein Update vom PHP-Projekt zu erwarten. Prüfen Sie, ob Ihre Distribution rückportierte Updates liefert. Andernfalls sind Isolation und eine geplante Migration auf eine aktuelle Version der richtige Weg.

Wird die Lücke bereits ausgenutzt?

Zum Zeitpunkt der Ankündigung lagen keine Hinweise auf aktive Angriffe vor. Das kann sich nach Veröffentlichung der Details schnell ändern.

Sprechen Sie uns für weitere Details, eine Beratung oder ein Expertengespräch gerne auch direkt an oder wenden Sie sich formlos an hallo@enthus.de.

← Alle Beiträge