Kritische Sicherheitslücken in PHP PHP-Sicherheitslücken: Warum Websites plötzlich offline sind

Anbieter zum Thema

Precoplat Präzisions Leiterplatten Technik GmbH

MES Electronic Connect GmbH & Co. KG

IBR Leiterplatten GmbH & Co. KG

Zwei kritische Sicherheitslücken in PHP sorgen am 21. Oktober 2026 für vorsorglich abgeschaltete Websites weltweit. Auch deutsche Behörden und Einrichtungen sind betroffen. Sicherheitsupdates sind inzwischen verfügbar. Was dahintersteckt und welche PHP-Versionen aktualisiert werden müssen.

Wer am Mittwoch, dem 21. Oktober 2026, eine Website aufrufen wollte, landete mitunter auf einer Wartungsseite oder erhielt eine Fehlermeldung – zumindest geschah das bei unseren täglichen Recherchen heute relativ oft. Der Grund ist in vielen Fällen dieses Mal allerdings keine gewöhnliche technische Störung: Zwei kritische Sicherheitslücken in der Programmiersprache PHP veranlassen Betreiber dazu, ihre Internetangebote vorsorglich abzuschalten. Betroffen sind unter anderem Websites von Behörden, Hochschulen und weiteren öffentlichen Einrichtungen in mehreren europäischen Ländern.

Die Schwachstellen mit den Kennungen CVE-2026-109618 und CVE-2026-109619 ermöglichen unter bestimmten Bedingungen die Ausführung von Schadcode auf verwundbaren Servern. Beide wurden mit einem CVSS-v4.0-Wert von 9,2 als kritisch eingestuft. Das europäische IT-Sicherheitsteam CERT-EU empfiehlt, betroffene Systeme sofort zu aktualisieren. Ist das nicht möglich, sollten öffentlich erreichbare Anwendungen vorübergehend vom Netz getrennt werden.

Warum sind so viele Websites von den PHP-Sicherheitslücken betroffen?

PHP ist eine serverseitige Programmiersprache, die einen großen Teil des Internets antreibt. Zahlreiche Content-Management-Systeme, darunter WordPress, Drupal und Joomla, verwenden PHP zur Verarbeitung von Webanfragen und zur Bereitstellung dynamischer Inhalte. Die aktuellen Schwachstellen betreffen nicht einzelne Plug-ins oder bestimmte Websites, sondern die PHP-Laufzeitumgebung selbst. Damit können unterschiedlichste Webanwendungen gefährdet sein, sofern sie auf verwundbaren PHP-Versionen betrieben werden.

Nach Angaben des PHP-Entwicklungsteams sind grundsätzlich alle PHP-Installationen betroffen, die Webanfragen verarbeiten. Dazu zählen PHP-FPM, Apache mit mod_php, php-cgi, FrankenPHP und LiteSpeed. Als besonders kritisch stufen die Entwickler Konfigurationen mit mod_php ein. Hier wurde bereits demonstriert, dass eine einzige nicht authentifizierte Anfrage einen Angriff auslösen kann, noch bevor der Anwendungscode ausgeführt wird.

Welche Websites wurden in Deutschland abgeschaltet?

Auch in Deutschland sind die Folgen sichtbar. Die Domainverwaltung DENIC bestätigte am 21. Oktober, ausgewählte eigene Websites vorsorglich außer Betrieb genommen zu haben. Die Domainabfrage, Registrierungsdienste und zentrale technische Infrastruktur seien von der Maßnahme nicht betroffen.

Die Universität Hamburg deaktivierte ebenfalls mehrere PHP-basierte Webdienste. Das Regionale Rechenzentrum begründete die außerplanmäßige Wartung mit den kritischen Schwachstellen und den Empfehlungen von CERT-EU und dem Bundesamt für Sicherheit in der Informationstechnik (BSI).

Nach Informationen der Nachrichtenagentur Reuters nahm zudem der IT-Dienstleister des Bundes ITZBund mehrere Websites vorübergehend vom Netz. Auch in den Niederlanden, Frankreich, Belgien und Finnland reagierten öffentliche Einrichtungen mit vorsorglichen Abschaltungen.

Wichtig ist dabei die Unterscheidung zwischen einer Sicherheitsmaßnahme und einem erfolgreichen Angriff. Dass eine Website nicht erreichbar ist, bedeutet nicht automatisch, dass ihre Systeme kompromittiert wurden. Viele Betreiber schalten ihre Angebote gezielt ab, bis Sicherheitsupdates installiert und überprüft wurden.

Was steckt technisch hinter CVE-2026-109618 und CVE-2026-109619?

Beide Schwachstellen betreffen die interne Speicherverwaltung von PHP und können zur sogenannten Remote Code Execution (RCE) führen. Dabei gelingt es Angreifern unter bestimmten Bedingungen, eigenen Programmcode auf einem entfernten Server auszuführen, ohne über gültige Zugangsdaten zu verfügen.

Bei CVE-2026-109618 liegt das Problem in der Behandlung von Speichermangel. Wird die Ausführung einer Anfrage wegen eines überschrittenen Speicherlimits abgebrochen, können interne Datenstrukturen unvollständig initialisiert bleiben. Bei der anschließenden Speicherbereinigung besteht die Gefahr, dass ungültige Speicherbereiche verarbeitet werden.

CVE-2026-109619 betrifft dagegen veraltete interne Zustandsinformationen. Nach der Freigabe eines Speicherbereichs können Referenzen auf diesen unter bestimmten Umständen erhalten bleiben. Werden diese Informationen bei einer späteren Anfrage erneut verwendet, kann ebenfalls eine ausnutzbare Speicherverletzung entstehen.

Die Schwachstellen werden auch unter dem Namen PHP2Shell behandelt. Erste technische Angriffsnachweise, sogenannte Proofs of Concept, sind öffentlich verfügbar. Das erhöht den Handlungsdruck für Administratoren. Nach Angaben von Reuters beobachtet der Sicherheitsanbieter Cloudflare bereits erste Angriffsaktivitäten.

Welche PHP-Versionen sind betroffen – und welche Updates helfen?

Am 21. Oktober hat das PHP-Entwicklungsteam Sicherheitsupdates veröffentlicht. Die Schwachstellen werden durch folgende Versionen behoben:

• PHP 8.5.12

• PHP 8.4.27

• PHP 8.3.36

• PHP 8.2.35

Verwundbar sind jeweils die älteren Versionen der genannten Entwicklungszweige. Auch nicht mehr regulär unterstützte Versionen wie PHP 8.1 und älter können betroffen sein.

Für Betreiber älterer Installationen ist die Situation besonders kritisch. Das PHP-Projekt stellt für diese Versionen keine regulären Sicherheitsupdates mehr bereit. Einzelne Linux-Distributionen und Langzeit-Support-Anbieter können allerdings angepasste Sicherheitspatches bereitstellen. Das PHP-Sicherheitsteam hat zudem minimale Quellcode-Patches für PHP 7.4, 8.0 und 8.1 veröffentlicht.

Was sollten Website-Betreiber jetzt tun?

CERT-EU und die PHP-Entwickler empfehlen, alle betroffenen Installationen schnellstmöglich auf eine korrigierte Version zu aktualisieren. Bei Systemen, deren PHP-Version über die Linux-Distribution verwaltet wird, sollten Administratoren die entsprechenden Sicherheitspakete des Distributors prüfen.

Ist ein sofortiges Update nicht möglich, empfiehlt CERT-EU, gefährdete Webanwendungen vorübergehend von öffentlichen Netzwerken zu isolieren. Bestimmte Konfigurationsänderungen können das Risiko einzelner Angriffswege verringern. Einen vollständigen Schutz bieten sie jedoch nicht.

Die veröffentlichten Updates sind damit die entscheidende Gegenmaßnahme. Bis sie flächendeckend eingespielt sind, können weitere Websites zeitweise nicht erreichbar bleiben.

Wie viele Systeme tatsächlich verwundbar sind und ob es bereits zu erfolgreichen Angriffen gekommen ist, lässt sich derzeit nicht zuverlässig beziffern. Die vorsorglichen Abschaltungen zeigen allerdings, welche Auswirkungen kritische Schwachstellen in einer weitverbreiteten Webtechnologie innerhalb weniger Stunden haben können. (sb)

(ID:50995699)