Zwei neu bekannt gewordene Sicherheitslücken in PHP sorgen aktuell für große Aufmerksamkeit in der IT-Security-Branche. PHP zählt zu den weltweit am häufigsten eingesetzten Technologien für Websites und Webanwendungen und bildet unter anderem die technische Grundlage vieler Installationen von WordPress, Drupal, Joomla und zahlreichen weiteren Plattformen.

Die Schwachstellen CVE-2026-109618 und CVE-2026-109619 werden von der PHP Group jeweils mit einem kritischen CVSS-Wert von 9,2 von 10 bewertet. Unter bestimmten Voraussetzungen können Angreifer verwundbare PHP-Server aus der Ferne übernehmen und eigenen Schadcode ausführen.

Warum sind die Sicherheitslücken so kritisch?

Das besondere Risiko liegt in der enormen Verbreitung von PHP.

Nach aktuellem Stand können grundsätzlich PHP-Installationen betroffen sein, die Webanfragen entgegennehmen. Besonders hoch wird das Risiko bei bestimmten Serverkonfigurationen mit aktiviertem mod_php eingeschätzt. Für diese Konstellation existieren bereits funktionsfähige Exploit-Ansätze.

Im Vorfeld der Veröffentlichung kursierten bereits Demonstrationen eines sogenannten PHP2Shell-Exploits. Dabei wurde gezeigt, dass PHP-basierte Systeme beziehungsweise darunterliegende Serverumgebungen angegriffen werden können. Als Beispiele wurden unter anderem WordPress, MediaWiki, Drupal, Joomla, Magento und phpBB genannt.

Wichtig: Das bedeutet nicht automatisch, dass diese Anwendungen selbst eine Sicherheitslücke enthalten. Entscheidend ist die darunterliegende verwundbare PHP-Installation.

Sicherheitsupdates sind jetzt verfügbar

Die Situation entwickelte sich am 21. Oktober sehr schnell. Während am Vormittag noch keine Patches verfügbar waren, veröffentlichte das PHP-Projekt im Laufe des Tages entsprechende Sicherheitsupdates.

Aktuell stehen folgende bereinigte PHP-Versionen zur Verfügung:

PHP 8.5.12, PHP 8.4.27, PHP 8.3.36 und PHP 8.2.35.

Unternehmen und Administratoren sollten betroffene Systeme daher so schnell wie möglich aktualisieren. Wer noch ältere und nicht mehr unterstützte PHP-Versionen einsetzt, sollte diese Gelegenheit nutzen, um auf eine aktuelle und unterstützte Version zu wechseln.

Veraltete Systeme sind besonders problematisch

Besonders kritisch ist, dass laut den aktuellen Berichten auch sehr alte PHP-Generationen betroffen sein können.

Gerade Server, Websites oder Spezialanwendungen, die seit längerer Zeit nicht aktualisiert wurden, stellen damit ein erhöhtes Risiko dar. Das betrifft nicht ausschließlich klassische Webserver: Auch Appliances oder NAS-Systeme können PHP-Komponenten enthalten.

Wenn ein sofortiges Upgrade aus technischen Gründen nicht möglich ist, gibt es temporäre Gegenmaßnahmen über Konfigurationsänderungen. Diese ersetzen jedoch kein Sicherheitsupdate. CERT-EU hatte im Vorfeld sogar empfohlen, gefährdete Systeme notfalls vorübergehend vom öffentlichen Internet zu trennen.

Was sollten Unternehmen jetzt tun?

Unternehmen sollten überprüfen, ob und wo PHP eingesetzt wird, welche Version installiert ist und ob die betroffenen Systeme öffentlich erreichbar sind.

Danach sollten verfügbare Updates eingespielt und insbesondere ältere Installationen genau geprüft werden. Ebenso sinnvoll ist eine Kontrolle der Webserver auf ungewöhnliche Zugriffe oder andere Hinweise auf eine mögliche Kompromittierung.

Jetzt handeln statt abwarten

Bei Schwachstellen dieser Kritikalität zählt Geschwindigkeit. Öffentlich erreichbare und ungepatchte Systeme sollten nicht länger als notwendig verwundbar bleiben.

Sollten Sie nicht sicher sein, ob Ihre Website, Ihr Webserver oder eine eingesetzte Anwendung betroffen ist, stehen wir Ihnen gerne zur Verfügung.
Das Team der Acronum GmbH unterstützt Sie bei der Überprüfung Ihrer Systeme und Durchführung notwendiger Sicherheitsmaßnahmen.

Bitte zögern Sie nicht, uns bei Fragen oder Unsicherheiten zu kontaktieren.
office@acronum.com / +4359084