Betreiber von Webseiten müssen heute, am 22.10.2026, rasch handeln: Zwei kritische PHP-Sicherheitslücken können Angreifern als Einfallstor dienen. Felix Freiling, Inhaber des Lehrstuhls für IT-Sicherheit am Department Informatik der Friedrich-Alexander-Universität Erlangen-Nürnberg (FAU), erklärt, welche Schritte jetzt nötig sind. Der FAU-Experte gilt als Fachmann für Sicherheitslücken und achtet zugleich darauf, dass keine Bilder von ihm im Internet veröffentlicht werden.

Die Warnungen zu den Schwachstellen wurden am Abend des 20. Oktober 2026 öffentlich. CERT-EU führt sie unter den Kennungen CVE-2026-109618 und CVE-2026-109619. Beide erhielten zunächst einen CVSS-v4.0-Wert von 9,2; das BSI bewertet die Lücken mit CVSS 9.8 als kritisch. Möglich ist Remote Code Execution (RCE), also die Ausführung beliebigen Codes auf betroffenen Servern – laut RUS-CERT auch durch entfernte, nicht authentifizierte Angreifer.

Warum die Warnung so viele Webseiten betrifft

Nach Angaben von CERT-EU können alle PHP-Versionen ab PHP 5 betroffen sein. Das wären praktisch sämtliche Versionen der vergangenen rund 20 Jahre. Zum Zeitpunkt der ersten Warnungen war die endgültige Liste der betroffenen und korrigierten PHP-Versionen allerdings noch nicht vollständig veröffentlicht. Auch die konkreten technischen Angriffsbedingungen, die Frage nach einer möglichen Ausnutzung ohne Anmeldung und die genau betroffenen Konfigurationen waren zunächst nicht abschließend bestätigt.

PHP läuft unter anderem bei WordPress, Drupal, TYPO3, Nextcloud, ownCloud, MediaWiki und DokuWiki. Hinzu kommen selbst entwickelte Webseiten und Anwendungen in Docker-Containern. Auch Windows Server mit IIS und FastCGI, Windows-Systeme mit PHP und Apache sowie lokale Entwicklungsumgebungen wie XAMPP können betroffen sein, sofern sie über das Netzwerk erreichbar oder produktiv eingesetzt werden. Bei WordPress richtet sich die Warnung zunächst an die PHP-Laufzeitumgebung, nicht automatisch an WordPress selbst. Ein Update von WordPress, Plugins oder Themes ersetzt deshalb kein PHP-Sicherheitsupdate.

Erfolgreiche Angriffe könnten Webseiten manipulieren, Daten stehlen oder weitere Schadsoftware installieren. Je nach Berechtigungen des betroffenen Prozesses wären auch Dateien, Datenbanken und andere Anwendungen erreichbar. Öffentlich verfügbare Exploits existieren bereits; das RUS-CERT konnte einen davon an einem Testsystem erfolgreich verifizieren. Angriffe auf verwundbare Systeme wurden im Internet beobachtet und sind weiterhin zu erwarten.

Hier könnte Ihr Advertorial stehen
Ein Advertorial bietet Unternehmen die Möglichkeit, ihre Botschaft direkt im redaktionellen Umfeld zu platzieren

Updates, Versionen und ein wichtiger Haken

Die PHP-Sicherheitsupdates waren für den 21. Oktober 2026 um 14:00 Uhr UTC, also 16:00 Uhr MESZ, angekündigt. Die PHP-Autoren veröffentlichten am 21. Oktober um 15:45 Uhr aktualisierte, korrigierte Versionen. Am 22. Oktober waren die Updates auch in gängigen Linux-Distributionen und aktualisierten Container-Images verfügbar. Einige Unternehmen hatten ihre Webserver vorsorglich heruntergefahren und wollten sie erst nach Veröffentlichung und Installation der Updates wieder aktivieren.

Nach der Veröffentlichung sollten Betreiber die offiziellen Versionshinweise mit ihren installierten Versionen abgleichen. Eine aktuell unterstützte oder im September 2026 aktualisierte PHP-Version gilt nicht automatisch als sicher. Entscheidend ist, dass die eingesetzte Version beide Sicherheitskorrekturen tatsächlich enthält. Einfach auf irgendeine andere, weiterhin verwundbare Version zu wechseln, bringt nichts.

Vor dem Eingriff gehört ein vollständiges Backup auf den Plan: Website-Dateien, Datenbank, WordPress-Konfiguration, Plugins und Themes sowie hochgeladene Medien. Verwendet werden sollten ausschließlich offizielle PHP-Pakete oder Sicherheitsupdates des Hosting-Anbieters. Nach dem Austausch von PHP-Dateien muss außerdem sichergestellt werden, dass die neue Version wirklich geladen wird. Dafür kann ein kontrollierter Neustart von PHP- oder Webserverdiensten nötig sein.

Die Versionsprüfung hat ihre Tücken. In WordPress führt der Weg über „Werkzeuge“ → „Website-Zustand“ → „Bericht“ beziehungsweise „Info“ → „Server“ → „PHP-Version“. Zusätzlich sollte beim Hosting-Anbieter nachgesehen werden, vor allem wenn mehrere Domains mit möglicherweise unterschiedlichen Versionen betrieben werden. Auf eigenen Linux- oder Windows-Servern zeigt php -v häufig die PHP-CLI-Version an. Die muss aber nicht der Version entsprechen, die der Webserver nutzt – etwa bei PHP-FPM, Containern oder mehreren Laufzeitumgebungen. Unter Windows Server und IIS sind deshalb besonders FastCGI-Einstellungen und Handler-Zuordnungen zu kontrollieren.

Nach der Aktualisierung ist die Arbeit noch nicht vorbei. Es muss geprüft werden, ob der Webserver tatsächlich die korrigierte PHP-Version verwendet. Eine aktualisierte PHP-Kommandozeile bedeutet nicht automatisch, dass alle Websites ebenfalls mit der sicheren Version laufen. WordPress-Betreiber sollten danach Startseite, Administrationsbereich, Formulare und – falls vorhanden – den Warenkorb testen. Wenn etwas nicht funktioniert, können inkompatible Plugins oder PHP-Erweiterungen dahinterstecken. Bei geschäftskritischen Anwendungen empfiehlt sich zuvor ein Funktionstest in einer vergleichbaren Umgebung.

Was bis zum Update hilft

Das RUS-CERT empfiehlt, öffentlich erreichbare PHP-Anwendungen zu erfassen, Verantwortliche und installierte PHP-Versionen zu dokumentieren und kurzfristige Update-Möglichkeiten festzuhalten. Systeme mit hohem Risiko sollten vorübergehend nur eingeschränkt erreichbar sein; besonders kritische Anwendungen können gegebenenfalls vom öffentlichen Internet getrennt werden. Eine Web Application Firewall, sichere Backups und regelmäßig geprüfte Webserver-Protokolle gehören ebenfalls zu den empfohlenen Maßnahmen.

Eine Firewall kann wegen der noch unvollständigen technischen Informationen allerdings nicht jeden möglichen Angriff sicher erkennen. Die Advisories der PHP-Autoren nennen Workarounds und Mitigations. Diese verhindern bestimmte Exploits, schließen die Sicherheitslücken aber nicht vollständig und reichen daher nicht aus, um eine öffentlich erreichbare PHP-Anwendung abzusichern. Nicht unmittelbar aktualisierbare Systeme sollen offline genommen oder in ihrer Erreichbarkeit eingeschränkt werden.

Die ersten Gegenmaßnahmen und Informationen wurden beim RUS-CERT laufend ergänzt: Die Seite entstand am 21. Oktober um 09:00 Uhr, um 11:00 Uhr folgten Angaben zu Bewertung, betroffenen Versionen, Empfehlungen und Links. Um 14:05 Uhr kamen Informationen zu Exploits und Gegenmaßnahmen hinzu, um 15:45 Uhr die Hinweise auf die verfügbaren Patches und die aktualisierte BSI-Bewertung. Links zu Advisories wurden um 16:15 Uhr ergänzt, Beispiele gängiger PHP-Anwendungen um 16:45 Uhr, der Link zur BSI-Warnmeldung um 17:30 Uhr. Um 19:15 Uhr wurde ein Verweis auf eine externe Webseite bei den Gegenmaßnahmen entfernt und durch Verweise auf PHP-Advisories ersetzt. Am 22. Oktober um 09:25 Uhr folgten die Hinweise zur Verfügbarkeit der Patches in den meisten Distributionen und Container-Images; um 09:45 Uhr wurde der Verweis auf die Linkliste der Distributions-Advisories in der BSI-WID-Meldung ergänzt.

Die PHP-Release-Ankündigung und eine Liste der Distributions-Advisories stehen in den verlinkten PHP- beziehungsweise BSI-WID-Meldungen bereit. Verfasst wurde der Artikel über die Situation an der FAU von Claudia Urbasek; veröffentlicht wurde er heute, am 22.10.2026, um 17:00 Uhr.