Am 21. Oktober 2026 hat das PHP-Entwicklerteam Sicherheitsupdates für zwei kritische Schwachstellen veröffentlicht. Beide ermöglichen es Angreifern unter Umständen, ohne Anmeldung aus der Ferne Schadcode auf Webservern auszuführen.
Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hatte bereits vorab gewarnt und Betreiber aufgerufen, die Patches unmittelbar nach Erscheinen einzuspielen.
Für IT-Verantwortliche bedeutet das: Dieses Update gehört nicht in den nächsten regulären Wartungszyklus, sondern auf die Agenda von heute.
Was ist passiert?
Das PHP-Sicherheitsteam hat die Versionen 8.5.12, 8.4.27, 8.3.36 und 8.2.35 veröffentlicht. Sie schließen zwei Schwachstellen, die jeweils mit einem CVSS-v4.0-Wert von 9,2 bewertet wurden:
- CVE-2026-109618: Ein Fehler in der Behandlung von Speichermangel (Out of Memory) kann dazu führen, dass PHP unvollständig initialisierte Anfragedaten später als gültig weiterverarbeitet.
- CVE-2026-109619: Interner Zustand einer Anfrage kann bestehen bleiben, obwohl der zugehörige Speicher bereits freigegeben wurde. Eine nachfolgende Anfrage im selben Worker kann diesen veralteten Zustand nutzen.
Betroffen sind laut PHP-Projekt alle Installationen, die Webanfragen verarbeiten – also PHP-FPM, Apache mit mod_php, php-cgi, FrankenPHP und LiteSpeed. Das höchste Risiko sehen die Entwickler bei mod_php: Dort wurde demonstriert, dass eine nicht authentifizierte Anfrage den Angriff auslösen kann, noch bevor überhaupt Anwendungscode ausgeführt wird.
Warum die Lage so dringend ist
PHP bildet die Grundlage unzähliger Webanwendungen – von Unternehmenswebsites und Content-Management-Systemen über Onlineshops bis hin zu internen Portalen. Entsprechend groß ist die potenzielle Angriffsfläche.
Das BSI hält eine großflächige Ausnutzung innerhalb weniger Stunden nach Veröffentlichung der Patches für wahrscheinlich. Der Grund: Angreifer können Sicherheitsupdates heute mithilfe KI-gestützter Werkzeuge sehr schnell analysieren und daraus funktionsfähige Exploits ableiten. Das Zeitfenster zwischen Patch und Angriff schrumpft damit erheblich.
Was Sie jetzt tun sollten
1. PHP-Systeme vollständig erfassen
Verschaffen Sie sich einen Überblick über alle Server und Anwendungen, auf denen PHP läuft – inklusive Test- und Staging-Umgebungen, Altsystemen und extern gehosteter Websites. Ein aktuelles Asset-Verzeichnis ist in solchen Situationen Gold wert.
2. Updates sofort einspielen
Aktualisieren Sie auf eine der gepatchten Versionen. Wer PHP über die Paketverwaltung seiner Linux-Distribution bezieht, sollte dort nach aktualisierten Paketen suchen – Distributionen und LTS-Anbieter haben die Patches vorab erhalten. Starten Sie anschließend alle PHP-Worker neu, damit die neue Version tatsächlich aktiv ist.
3. Altversionen gesondert behandeln
Für PHP 8.1 und älter liefert das PHP-Projekt keine regulären Updates mehr. Aufgrund der Schwere der Lücken stellt das Sicherheitsteam für PHP 7.4, 8.0 und 8.1 minimale Quellcode-Backports bereit. Einige Distributionen und LTS-Anbieter bieten zudem eigene Fixes an. Mittelfristig führt jedoch kein Weg an einem Upgrade auf eine unterstützte Version vorbei. Planen Sie dabei auch PHP 8.2 ein: Diese Version erhält nach dem 31. Dezember 2026 keine Sicherheitsupdates mehr.
4. Patchstatus verifizieren
Prüfen Sie nach dem Update auf jedem System, welche PHP-Version tatsächlich ausgeliefert wird. Achten Sie dabei auf alle FPM-Pools und Virtual Hosts – die Version auf der Kommandozeile entspricht nicht zwingend der Version, die Webanfragen verarbeitet.
5. Server auf Auffälligkeiten überwachen
Beobachten Sie öffentlich erreichbare PHP-Webserver in den kommenden Tagen besonders aufmerksam. Ungewöhnliche Prozesse, neue Dateien in Webverzeichnissen oder auffällige Zugriffsmuster in den Logs können auf eine Kompromittierung hindeuten – insbesondere, wenn das Update nicht unmittelbar eingespielt werden konnte.
Wenn ein sofortiges Update nicht möglich ist
Das PHP-Projekt nennt für den Übergang einige Konfigurationsmaßnahmen, die bestimmte Angriffspfade erschweren. Dazu zählen unter anderem das Deaktivieren von session.upload_progress.enabled, eine niedrige Begrenzung von post_max_size sowie Limits für Anfragegrößen auf Webserver- oder Proxy-Ebene. Die vollständige Liste finden Sie im offiziellen Security Advisory.
Wichtig: Diese Maßnahmen reduzieren das Risiko lediglich, sie beseitigen es nicht. Das Update bleibt die einzige vollständige Lösung.
Mehr als ein einzelner Patch
Der aktuelle Fall zeigt, worauf es im Ernstfall ankommt: Unternehmen müssen wissen, wo welche Software läuft, wer für das Einspielen von Updates zuständig ist und wie schnell sie reagieren können. Ein strukturiertes Patch- und Schwachstellenmanagement als Teil eines ISMS sorgt dafür, dass solche Situationen nicht zur Ausnahmesituation werden.
Sollten Sie Hinweise auf einen erfolgreichen Angriff feststellen, prüfen Sie zudem frühzeitig, ob personenbezogene Daten betroffen sein könnten. In diesem Fall kann ein meldepflichtiger Datenschutzvorfall vorliegen, für den enge Fristen gelten.
Wir unterstützen Sie dabei, Ihre IT-Landschaft strukturiert abzusichern – von der Bestandsaufnahme über klare Prozesse für den Umgang mit Sicherheitslücken bis hin zur Begleitung durch einen externen Informationssicherheitsbeauftragten. In einem kostenlosen Erstgespräch analysieren wir gemeinsam Ihre aktuelle Sicherheitslage.
Quellen:
