Warnung: Kritische PHP-Sicherheitslücken

Was ist passiert?

Am 21. Oktober 2026 wurden zwei kritische Sicherheitslücken in PHP veröffentlicht: CVE-2026-109618 und CVE-2026-109619. Beide Schwachstellen sind mit einem CVSS-v4.0-Score von 9,2 von 10 bewertet.

Sie ermöglichen Angreifenden unter bestimmten Voraussetzungen, beliebige Befehle auf betroffenen Servern auszuführen (Remote Code Execution, RCE). Dadurch können sie unter anderem auf Daten zugreifen, diese manipulieren oder Schadcode mit den Rechten des betroffenen PHP-Prozesses ausführen.

Die Schwachstellen betreffen alle PHP-Versionen ab PHP 5, einschließlich PHP 7 und PHP 8. Gefährdet sind PHP-Installationen, die Webanfragen verarbeiten, beispielsweise über PHP-FPM, Apache mit mod_php, php-cgi, FrankenPHP oder LiteSpeed.

Welche Maßnahmen sollten Unternehmen jetzt ergreifen?

1. Betroffene Systeme identifizieren

Unternehmen sollten alle Systeme und Anwendungen erfassen, die PHP verwenden. Dazu gehören neben Servern auch virtuelle Maschinen, Container-Images, Drittanbieter-Software, Managed Services sowie vernetzte Geräte mit Weboberflächen, beispielsweise Firewalls und NAS-Systeme.

Die jeweils eingesetzten PHP-Versionen sollten dokumentiert und insbesondere öffentlich erreichbare Systeme priorisiert werden.

2. Sicherheitsupdates zeitnah installieren

Offizielle Sicherheitsupdates stehen für PHP 8.2, 8.3, 8.4 und 8.5 zur Verfügung. Betroffen sind die Versionen vor folgenden korrigierten Releases:

• PHP 8.2.35
• PHP 8.3.36
• PHP 8.4.27
• PHP 8.5.12

Für ältere Versionen 7.4, 8.0 und 8.1 gibt es minimale Backports. Empfohlen wird jedoch der Wechsel auf eine unterstützte PHP-Version, idealerweise PHP 8.3 oder neuer.

Updates sollten nach Möglichkeit zunächst in einer Testumgebung geprüft werden. Anschließend sind die betroffenen Dienste neu zu starten, die aktualisierten Versionsnummern zu kontrollieren und die Systeme auf ihre Integrität sowie mögliche Kompromittierungen zu untersuchen.

3. Nicht aktualisierbare Systeme absichern

Ist ein zeitnahes Update nicht möglich, sollten öffentlich erreichbare Dienste, die nicht betriebsnotwendig sind, nach Möglichkeit über die Firewall isoliert oder abgeschaltet werden.

Als vorübergehende zusätzliche Maßnahmen kommen unter anderem Einschränkungen bei Speicher- und Anfragegrößen, der Anzahl und Verschachtelung von Eingabefeldern sowie bei Datei-Uploads infrage. Weitere Möglichkeiten sind die Deaktivierung bestimmter Session-Upload-Funktionen, die Begrenzung von Prozessressourcen und der Einsatz von SELinux oder AppArmor.

Diese Maßnahmen müssen durch qualifizierte IT-Verantwortliche geprüft und umgesetzt werden. Sie können Funktionalität und Geschwindigkeit beeinträchtigen und bieten keinen vollständigen Schutz. Sie ersetzen daher keinesfalls die Installation der Sicherheitsupdates.

Wurden die Schwachstellen bereits ausgenutzt?

Nach Angaben des Informationspapiers gibt es Hinweise darauf, dass die Sicherheitslücken bereits vor ihrer öffentlichen Bekanntmachung aktiv ausgenutzt wurden. Erste Ausnutzungsversuche lassen sich bis zum 17. Oktober 2026 zurückverfolgen.

Auch wenn Sicherheitsupdates bereits installiert oder vorläufige Schutzmaßnahmen umgesetzt wurden, kann eine vorherige Kompromittierung nicht ausgeschlossen werden. Zudem hinterlassen erfolgreiche Angriffe aufgrund der Art der Schwachstellen möglicherweise nur wenige Spuren.

Unternehmen sollten deshalb ihre Systeme auf verdächtige Aktivitäten untersuchen. Dazu gehören:

• ungewöhnliche oder kürzlich veränderte Dateien im Benutzerverzeichnis sowie neu angelegte oder veränderte PHP-Dateien im Webserver-Verzeichnis seit dem 17. Oktober 2026,
• verdächtige Einträge in Befehlsverläufen wie .history und .bash_history,
• auffällige Fehlermeldungen in System- und Webserver-Protokollen, insbesondere Hinweise auf Speicherfehler oder Probleme beim Dekodieren von Session-Objekten,
• ungewöhnliche Unterprozesse von Webserver- oder PHP-Prozessen sowie unerwartete offene Netzwerk-Ports.

Bei konkreten Verdachtsmomenten sollte eine weitergehende Sicherheitsanalyse erfolgen.

Fazit

Die PHP-Sicherheitslücken verdeutlichen, wie wichtig ein aktueller Überblick über die eigene IT-Infrastruktur, zeitnahe Sicherheitsupdates und die Überprüfung möglicher Angriffsversuche sind. Unternehmen sollten nicht nur bekannte Schwachstellen schließen, sondern auch prüfen, ob ihre Systeme möglicherweise bereits kompromittiert wurden. Weitere Entwicklungen und mögliche zusätzliche Erkenntnisse zu den Schwachstellen sollten ebenfalls verfolgt werden.