Das PHP-Team hat zwei kritische Sicherheitslücken gemeldet und für den 21. Oktober 2026 um 16 Uhr ein Sicherheitsupdate angekündigt. Beide Schwachstellen sind mit einem CVSS-Wert von 9,2 von 10 bewertet. Der CVSS-Wert ist ein internationaler Standard, mit dem die Schwere von IT-Sicherheitslücken eingeschätzt wird. Ein Wert von 9,2 gilt dabei als kritisch.
Für Unternehmen, deren Websites oder Webanwendungen auf PHP basieren, ist die Meldung ein Anlass, die eigenen Systeme zu überprüfen und sich auf die anstehenden Updates vorzubereiten. Seit Bekanntwerden arbeiten wir mit Hochdruck an Lösungen für unsere Kunden. Wir bereiten bereits Updates für alle von uns betreuten- und betroffenen Systeme vor. Dabei gehen wir auch proaktiv auf jene Kunden zu, die besonders von der Sicherheitslücke betroffen sind und sprechen Maßnahmen zum Schutz durch.
Warum die Sicherheitslücken relevant sind
PHP ist eine weitverbreitete Programmiersprache für Websites und Webanwendungen. Eine Schwachstelle in PHP kann deshalb viele Systeme betreffen. Die Sicherheitslücke ist, soweit aktuell bekannt, in allen Versionen seit PHP 5.0 (erschienen 2004) enthalten.
Das PHP-Team hat angekündigt, die vollständigen Informationen zu den Schwachstellen und den verfügbaren Korrekturen mit der Veröffentlichung der Updates bereitzustellen. Bis dahin sind diese Details laut offizieller Aussagen noch nicht vollständig bekannt.
Welche Folgen kann ein Angriff haben?
Wird eine solche Schwachstelle erfolgreich ausgenutzt, können die Auswirkungen erheblich sein. Je nach System und vorhandenen Schutzmaßnahmen kommen unter anderem folgende Konsequenzen infrage:
- Datenverlust oder Datendiebstahl: Angreifer könnten auf gespeicherte Informationen zugreifen, sofern sie über die entsprechenden Möglichkeiten auf dem betroffenen System verfügen.
- Manipulierte Websites: Inhalte könnten verändert oder Besucher auf schädliche Seiten umgeleitet werden.
- Kompromittierte Server: Im schlimmsten Fall könnten Angreifer die Kontrolle über Teile eines Systems erlangen und weitere Angriffe vorbereiten.
- Betriebsunterbrechungen: Unternehmen müssten betroffene Anwendungen möglicherweise vorübergehend abschalten, untersuchen und wieder absichern. Das kann zu Ausfällen und zusätzlichem Aufwand führen.
Diese Folgen sind mögliche Szenarien bei einer erfolgreichen Ausnutzung, keine bestätigten Auswirkungen auf jedes betroffene PHP-System.
Was Unternehmen jetzt tun sollten
Unternehmen sollten zunächst prüfen, welche ihrer Websites, Webanwendungen und Server PHP verwenden und in welcher Version. Bei besonders kritischen Systemen sollte geprüft werden, ob Maßnahmen wie eine Abschaltung vor Veröffentlichung der Updates sinnvoll sind.
Von den Entwicklern von PHP wurde angekündigt, Sicherheitsupdates ab der Version PHP 8.2 bereit zu stellen. Daher kann es erforderlich sein, eine Anwendung, die auf einer älteren Version läuft auf ein Update auf eine aktuelle PHP-Version vorzubereiten.
Sobald die passenden Sicherheitsupdates verfügbar sind, sollten Administratoren sie zeitnah einspielen. Dabei ist zu beachten, dass Hosting-Anbieter und Linux-Distributoren eigene Softwarepakete bereitstellen können. Deshalb sollten neben der offiziellen PHP-Meldung auch die Sicherheitshinweise des jeweiligen Anbieters berücksichtigt werden.
Falls sich ein betroffenes System nicht kurzfristig absichern lässt, sollte geprüft werden, ob der Zugriff darauf vorübergehend eingeschränkt werden kann. Welche Maßnahme sinnvoll ist, hängt vom jeweiligen System und seiner Erreichbarkeit ab.
Updates sind ein wichtiger Bestandteil der IT-Sicherheit
Die aktuelle Meldung zeigt, wie wichtig es ist, eingesetzte Software aktuell zu halten und Sicherheitsupdates nicht aufzuschieben. Unternehmen sollten ihre Systeme kennen, Aktualisierungen regelmäßig einplanen und bei kritischen Schwachstellen schnell reagieren können.
Dabei können IT-Dienstleister und Softwareagenturen unterstützen: Sie helfen dabei, eingesetzte PHP-Versionen zu prüfen, Sicherheitsupdates fachgerecht einzuspielen und bestehende Webanwendungen auf Aktualisierungsbedarf zu untersuchen. So lassen sich Sicherheitsrisiken gezielter angehen und ungeplante Ausfälle möglichst vermeiden.
Wichtiger Hinweis
Die Veröffentlichung der PHP-Sicherheitsupdates ist für den 21. Oktober 2026 um 16:00 Uhr deutscher Zeit angekündigt. Welche PHP-Versionen konkret betroffen sind und welche Updates die Schwachstellen beheben, sollte nach Veröffentlichung anhand der offiziellen Hinweise geprüft werden.