Zwei kritische PHP-Lücken treffen das Fundament vieler Websites
Das PHP-Projekt hat am 21. Oktober Notfall-Updates veröffentlicht, Systeme mit älteren Versionen bleiben ohne Korrektur.
Das PHP-Projekt hat am 21. Oktober zwei Lücken geschlossen, über die Angreifer ohne Anmeldung eigenen Code auf Webservern ausführen können, beide mit 9,2 von 10 Punkten als kritisch bewertet. Die US-Cybersicherheitsbehörde CISA rief zum sofortigen Aktualisieren auf, Sicherheitsfirmen melden erste Angriffsversuche.
Was passiert ist
PHP ist die Programmiersprache hinter einem großen Teil des Webs: Content-Management-Systeme, Onlineshops, Kundenportale, viele davon bei Mittelständlern und kleinen Hostern. Die Fehler liegen im Kern der Laufzeitumgebung, nicht in einer bestimmten Anwendung. Betroffen sind laut Google Cloud alle Versionen von 5.4 bis 8.5.11. Korrigierte Fassungen gibt es mit 8.2.35, 8.3.36, 8.4.27 und 8.5.12. Für 8.1 und älter liefert das Projekt keine regulären Updates mehr, nur eingeschränkte Korrekturen im Quellcode für 7.4 bis 8.1. Das Projekt hatte die Veröffentlichung einen Tag vorher angekündigt, Linux-Distributionen erhielten die Korrekturen vorab. Rapid7 hat bis zum 21. Oktober keine erfolgreiche Ausnutzung beobachtet, aber mehrere Berichte über Versuche. Öffentlich kursierender Angriffscode funktioniert demnach nur in bestimmten Kombinationen aus Betriebssystem, PHP-Version und Webserver. Einordnung: Ob Systeme von Banken betroffen sind, ist öffentlich nicht bekannt. Das größere Risiko für Nutzer liegt bei den vielen kleineren Websites: Ein übernommener Shop kann Zahlungsdaten abgreifen oder als Kulisse für Phishing dienen, das auf Bankzugänge zielt.
Was daraus folgt
Für Unternehmen ist das zuerst eine Frage der Übersicht. Häufig ist unklar, auf welcher PHP-Version Website, Shop oder ein altes Partnerportal laufen, besonders wenn Agenturen oder Hoster sie betreiben. Die Updates liegen vor, der Engpass ist die Zeit bis zur Installation. Schwerer wiegt die Altlast: Systeme auf PHP 8.1 oder älter lassen sich oft nicht einfach aktualisieren, weil die Anwendung angepasst werden muss. Zudem endet die Unterstützung für PHP 8.2 am 31. Dezember 2026. Vorübergehende Konfigurationsänderungen senken das Risiko laut PHP-Projekt nur teilweise. Für Privatnutzer gilt die bekannte Regel: Bankgeschäfte nur über die offizielle App oder die selbst eingegebene Adresse, keine Zugangsdaten über Links aus Mails oder auf auffälligen Seiten.
Worauf zu achten ist
- Ob CISA die Lücken in ihren Katalog aktiv ausgenutzter Schwachstellen aufnimmt
- Warnungen des BSI und Meldungen über kompromittierte Shops im deutschsprachigen Raum
- Wie schnell Hoster und Linux-Distributionen aktualisierte Pakete ausrollen
Quellen
- PHP-Projekt: Sicherheitshinweis und Releases vom 21. Oktober 2026
- CISA: Critical Vulnerabilities in PHP Require Immediate Patching
- Rapid7: CVE-2026-109618 und CVE-2026-109619
- Google Cloud: Responding to core PHP vulnerabilities