Sicherheitskritsche PHP-Lücke
21.10.2026Update 21.10.2026 19:41:53:
In PHP wurden zwei kritische Sicherheitslücken entdeckt.
Wir haben die Sicherheitpatchen eingespielt und sind auf der sicheren Seite.
Solltet ihr irgendwo eine Anwendung in PHP z.B.: Wordpress haben, so empfehle ich, dass ihr euch mit dem Hoster in Verbindung setzt.
Was ist los?
In der Programmiersprache PHP wurden zwei extrem kritische Schwachstellen (CVE-2026-109618 und CVE-2026-109619) entdeckt, die vom PHP-Sicherheitsteam mit einem Schweregrad von 9,2 von 10 Punkten bewertet wurden.
Die Gefahr (RCE): Angreifer können die Lücken theoretisch aus der Ferne und ohne vorherige Anmeldung ausnutzen, um eigenen Schadcode auf betroffenen Webservern auszuführen (Remote Code Execution).
Wer ist betroffen? Praktisch alle gängigen PHP-Versionen (zurück bis mindestens PHP 5, einschließlich aktuellerer Versionen sowie gängiger Server-Anbindungen wie Apache/mod_php, PHP-FPM, FrankenPHP und LiteSpeed). Da ein Großteil des Webs (darunter auch WordPress-Seiten) auf PHP basiert, herrscht weltweiter Alarm.
Folgen & Reaktionen: Zahlreiche Organisationen, Behörden und Universitäten (wie z. B. die TU Wien) nahmen ihre Webseiten am Mittwoch vorsorglich vom Netz oder schalteten sie ab. Das BSI und internationale Sicherheitsbehörden warnten vor einer schnellen Ausnutzung (unter anderem durch KI-gestützte Werkzeuge zur Exploit-Erstellung).
Lösung: Das PHP-Entwicklerteam hat kurzfristig Sicherheitsupdates (bzw. Patches für diverse Versionen) veröffentlicht. Administratoren sind angehalten, diese Patches sofort einzuspielen oder gefährdete Systeme vorübergehend vom Netz zu trennen.