Viele werden es hoffentlich bereits aus den Medien erfahren haben. Trotz Urlaub hier von mir eine kurze Sicherheitswarnung.
Worum geht es?
Am 21.10.2026 wurden zwei kritische Schwachstellen in PHP veröffentlicht (CVE-2026-109618 und CVE-2026-109619, CVSS 9.2). Angreifer können darüber ohne Anmeldung Code auf Webservern ausführen und Speicherinhalte wie Passwörter oder API-Schlüssel auslesen. Betroffen sind potenziell alle PHP-basierten Webanwendungen, auch WordPress, Joomla und Drupal. Details sind vorab durchgesickert. Mehrere Behörden und Hochschulen haben ihre Webseiten vorsorglich vom Netz genommen. Automatisierte Massenangriffe sind in Kürze zu erwarten.
Was ist zu tun?
Wer selbst Webservices betreibt und für Updates verantwortlich ist, sollte jetzt:
- sofort patchen auf PHP 8.5.12, 8.4.27, 8.3.36 bzw. 8.2.35 (oder die entsprechenden Pakete der Linux-Distribution),
- Systeme mit PHP 8.1 oder älter auf eine unterstützte Version umstellen; diese Versionen erhalten keine Updates mehr,
- Systeme, die sich nicht zeitnah absichern lassen, vorübergehend vom Netz nehmen,
- die weitere Entwicklung im Blick behalten und Server-Logs auf Auffälligkeiten prüfen.
Wer Webseiten über einen Hoster oder IT-Dienstleister betreibt, sollte dort kurz nachfragen, ob die Updates eingespielt sind.
Bitte auch an interne IT-Systeme denken, die ggf. auf PHP basieren und von Dritten bzw. über das Internet erreichbar sind (z.B. Ticketsysteme, webbasierte ERP-Systeme…)!
Datenschutzrechtlicher Hinweis: Besteht der Verdacht, dass ein System kompromittiert wurde, bitte umgehend melden. Für eine mögliche Meldung an die Aufsichtsbehörde gilt die 72-Stunden-Frist nach Art. 33 DSGVO.
Viele Grüße
René Floitgraf
