PHP schließt kritische Sicherheitslücken, BSI warnt
Tech & Wissen

PHP schließt kritische Sicherheitslücken, BSI warnt

Das PHP-Projekt hat kritische Sicherheitslücken geschlossen. Das BSI stufte die Bedrohung mit der Warnstufe 3/Orange ein, mehrere Kommunen und Behörden sowie Universitäten und Kliniken nahmen laut Tagesspiegel ihre Webseiten vorsorglich vom Netz.

Quellen (15)
  1. CERT-EU - Critical Vulnerabilities in PHPcert.europa.eu
  2. Critical Vulnerabilities in PHP Require Immediate Patching | CISAcisa.gov
  3. PHP: Kritische Schwachstellen bedrohen Webanwendungen weltweitbsi.bund.de
  4. PHP-Bedrohung: Was über die Sicherheitslücke bekannt ist | tagesschau.detagesschau.de
  5. Sicherheitslücke: Zahlreiche Behörden-Webseiten in Hessen abgeschaltet | hessenschau.dehessenschau.de
  6. Bundesamt stuft Lage als kritisch ein: Gravierende Sicherheitslücke bedroht Millionen Webseitentagesspiegel.de
  7. PHP2Shell: Kritische PHP-Lücke – warum das BSI zum Abschalten rätt3n.de
  8. Today's PHP Security Release, and How We're Strengthening PHP Security — The PHP Foundation — Supporting, Advancing, and Developing the PHP Languagethephp.foundation
  9. Critical security issue affecting PHP | National Cyber Security Centrencsc.gov.uk
  10. PHP: PHP 8 ChangeLogphp.net
  11. CVE-2026-109618<!-- --> | Tenable®tenable.com
  12. Programmiersprache PHP - Weltweite Sicherheitslücke: Update für Webanbieter bereitgestelltdeutschlandfunk.de
  13. Kritische PHP-Lücken: Warum Websites offline gehen – und wer jetzt handeln mussberliner-zeitung.de
  14. BSI - Bundesamt für Sicherheit in der Informationstechnik - Version 1.1: PHP - Kritische Schwachstellen bedrohen Webanwendungen weltweitbsi.bund.de
  15. Globale Sicherheitslücke: Viele Seiten stundenlang offline - Sicherheitspatch soll helfennn.de
22. Oktober 2026, 1:46 Uhr787 Wörter · 4 Min. Lesezeit
Redaktion: KI-gestützt erstellt und redaktionell geprüft

CERT-EU meldete, dass das PHP-Projekt am 21. Oktober 2026 um 13:30 UTC aktualisierte Versionen veröffentlichte: PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35. Die als „PHP2Shell“ bezeichneten Schwachstellen CVE-2026-109618 und CVE-2026-109619 erlauben laut der US-Behörde CISA eine nicht authentifizierte Ausführung von Code aus der Ferne auf PHP-Installationen, die Webanfragen bedienen. Das Bundesamt für Sicherheit in der Informationstechnik stufte das Risiko in seinem Sicherheitshinweis mit der Warnstufe 3/Orange ein, bei der unverzüglich Maßnahmen ergriffen werden müssen, weil eine massive Beeinträchtigung des Regelbetriebs möglich ist.

Fehler in der PHP-Laufzeitumgebung

Laut CERT-EU hat CVE-2026-109618 einen CVSS-Wert von 9.2 und ermöglicht Codeausführung aus der Ferne durch Speicherbeschädigung bei der Behandlung von Speichermangel. Bei CVE-2026-109619 mit demselben Wert kann interner Zustand einer Anfrage nach Freigabe des zugehörigen Speichers fortbestehen und von einer späteren Anfrage desselben Arbeitsprozesses verwendet werden, bevor er neu initialisiert wird. Nach Angaben des BSI betreffen beide Schwachstellen die PHP-Laufzeitumgebung selbst, weshalb ein Update einzelner Anwendungen nicht ausreicht und auch die zugrunde liegende Laufzeitumgebung gepatcht werden muss.

Jede PHP-Installation, die Webanfragen verarbeitet, ist potenziell betroffen

PHP ist nach Angaben des BSI einer der zentralen Bausteine von Webanwendungen weltweit und auch in Komponenten proprietärer Produkte enthalten; als mit PHP entwickelte Open-Source-Projekte nennt das Amt WordPress, Drupal, TYPO3, Joomla, Magento, Nextcloud, pfSense und OPNsense. IT-Fachleute schätzen laut tagesschau, dass allein mit der PHP-basierten Anwendung WordPress weltweit 400 bis 500 Millionen Webseiten betrieben werden. Gefährdet sind laut BSI alle PHP-Installationen, die Webanfragen verarbeiten, darunter PHP-FPM, Apache mit mod_php, php-cgi, FrankenPHP und LiteSpeed; das PHP Security Team stuft das Risiko bei mod_php als am höchsten ein. Betroffen sind demnach alle bekannten PHP-Versionen zurückgehend bis mindestens PHP 5, wobei alle Versionen vor 8.2 bereits ihr End-of-Life erreicht haben und PHP 8.2 selbst nur noch bis zum Jahresende Sicherheitsupdates erhält. Auch für ältere PHP-Versionen bestehen laut CERT-EU teilweise Patchmöglichkeiten: Anbieter-Backports sowie minimale Quellcode-Patches des PHP-Sicherheitsteams für PHP 7.4, 8.0 und 8.1.

Patchen, gegebenenfalls Trennung vom Netz erwägen

Das BSI empfiehlt, eine vorübergehende Trennung vom Internet zu erwägen, wenn Patches nicht umgehend installiert werden können, da Workarounds keinen vollständigen Schutz bieten. Die US-Behörde CISA fordert Organisationen auf, unverzüglich auf PHP 8.5.12, 8.4.27, 8.3.36 oder 8.2.35 zu aktualisieren und dabei über das Internet erreichbare Systeme zu priorisieren. Wer nicht sofort aktualisieren kann oder weiterhin PHP 8.1 oder ältere, nicht mehr unterstützte Versionen nutzt, solle die betroffenen Systeme laut CISA bis zum Patchen vom Netz nehmen.

Vorsorgliche Abschaltungen in Hessen, Berlin und im Ausland

Nach den Warnungen der Sicherheitsbehörden nahmen laut Tagesspiegel mehrere Kommunen und Behörden sowie Universitäten und Krankenhäuser ihre Webseiten vorsorglich vom Netz; laut hessenschau waren hessen.de und die Webseiten der hessischen Ministerien vorübergehend nicht erreichbar, am Abend aber wieder verfügbar. Eine Sprecherin der hessischen Staatskanzlei erklärte, die Abschaltung sei rein vorsorglich erfolgt; eine Hackerattacke auf die Webseiten der Landesregierung habe es bislang nicht gegeben. Auch das Bundeskriminalamt in Wiesbaden nahm seine Webseite während der Behebung der PHP-Sicherheitslücken vorübergehend offline. In Berlin nahm die Universitätsmedizin Charité laut Tagesspiegel ihre offizielle Website vom Netz, in Rheinland-Pfalz deaktivierte die Landeshauptstadt Mainz ihr zentrales Portal mainz.de, wobei Ämter und Bürgerbüros telefonisch erreichbar blieben. Auch im Ausland wurden Vorkehrungen getroffen: Laut t3n unter Berufung auf Futurezone schalteten unter anderem Regierungsstellen in Finnland und den Niederlanden sowie Teile der BBC ihre Angebote zeitweise ab.

Wer die Aktualisierung an diesem Tag nicht installiere, laufe aber Gefahr, kurzfristig betroffen zu sein, warnte Caspers: „Und dann werden wir auch die ersten Schäden sehen.“

Eine seit 2024 bekannte Schwäche

Laut einer Mitteilung der PHP Foundation waren erste Anzeichen für das Speicherproblem hinter CVE-2026-109618 bereits 2024 einem PHP-Kernentwickler beim Beheben eines von Quarkslab gemeldeten Problems aufgefallen, blieben aber wegen fehlender Einigung im Entwicklerteam und mangels eines bekannten Angriffswegs unbehoben. Die Foundation bezeichnete die Verzögerung selbst als strukturelles Versagen, verursacht durch den Entscheidungsprozess und fehlende Ressourcen des PHP-Sicherheitsteams. Einen praktischen Angriffsweg wiesen laut t3n am 11. August 2026 erstmals das Sicherheitsunternehmen Calif und OpenAI mithilfe des Sprachmodells GPT-5.6 Sol nach; acht Tage später stieß auch das Team von Wiz unabhängig auf dieselbe Fehlerfamilie. Weil CVE-Kennungen samt falschem Veröffentlichungszeitpunkt und falschem Schweregrad vorab öffentlich kursierten, zog das PHP-Projekt die für den 22. Oktober geplante Veröffentlichung laut PHP Foundation auf den 21. Oktober vor.

Was das für normale Nutzer bedeutet

Für normale Internetnutzer besteht laut hessenschau beim alltäglichen Surfen auf Smartphone oder PC kein direkter Handlungsbedarf, weil die Sicherheitslücke auf den Servern liegt und nicht auf den Endgeräten der Anwender. Indirekt betroffen sein können sie dennoch, etwa durch Ausfälle von Onlinediensten oder potenzielle Datenabflüsse auf nicht rechtzeitig geschützten Webseiten. Dass die zugrunde liegende Schwäche laut PHP Foundation bereits 2024 erkannt wurde und erst Calif und OpenAI laut t3n mithilfe eines Sprachmodells im Sommer 2026 einen funktionierenden Angriffsweg nachwiesen, zeigt, wie lange ein bekanntes Risiko ohne nachgewiesenen Angriffspfad ungepatcht bleiben kann.

Kommentare

Weitere Artikel