Das Bundesamt für Sicherheit in der Informationstechnik (BSI) warnt vor schwerwiegenden Sicherheitslücken in der weitverbreiteten Programmiersprache PHP. Betroffen sein könnten weltweit zahlreiche Webseiten und Webanwendungen. Im schlimmsten Fall könnten Cyberkriminelle Schadcode aus der Ferne auf Servern ausführen und die Kontrolle über betroffene Systeme übernehmen. Für Mittwoch, den 21. Oktober 2026, um 16 Uhr deutscher Zeit sind deshalb dringende Sicherheitsupdates angekündigt.
Zwei kritische Sicherheitslücken bedrohen PHP-Webserver
Nach bisherigen Erkenntnissen könnten sämtliche PHP-Versionen seit mindestens PHP 5 von den Schwachstellen betroffen sein. Damit reichen die möglichen Sicherheitsprobleme rund zwei Jahrzehnte zurück. Das PHP-Entwicklerteam hat bestätigt, dass zwei kritische Schwachstellen geschlossen werden sollen. Beide wurden mit einem Schweregrad von 9,2 auf der zehnstufigen Bewertungsskala CVSS 4.0 eingestuft. Die Sicherheitslücken werden unter den Kennungen CVE-2026-109618 und CVE-2026-109619 geführt.
Besonders gefährlich ist die Möglichkeit einer sogenannten Remote Code Execution (RCE). Dabei können Angreifer unter bestimmten Voraussetzungen eigenen Programmcode auf einem fremden Server ausführen, ohne physischen Zugriff auf das System zu benötigen. Im schlimmsten Fall könnten dadurch sensible Daten gestohlen, Webseiten manipuliert oder weitere Schadprogramme eingeschleust werden.
Welche PHP-Versionen tatsächlich betroffen sind und unter welchen technischen Voraussetzungen die Schwachstellen ausgenutzt werden können, soll mit der Veröffentlichung der Sicherheitsupdates abschließend geklärt werden.
Auch WordPress-Webseiten könnten betroffen sein
PHP gehört zu den wichtigsten Programmiersprachen für die Entwicklung dynamischer Webseiten. Zahlreiche Content-Management-Systeme und Onlineshop-Lösungen setzen auf diese Technik. Dazu gehören beispielsweise WordPress, Joomla, Drupal und Magento.
Damit könnten nicht nur große Internetportale, sondern auch kleinere Unternehmenswebseiten, Onlineshops, Blogs und private Internetauftritte gefährdet sein. Entscheidend ist dabei die auf dem Webserver installierte PHP-Version. Ein aktuelles WordPress-System oder vollständig aktualisierte Plug-ins bieten nicht automatisch Schutz vor einer Sicherheitslücke in der zugrunde liegenden PHP-Installation. Bei klassischen Webhosting-Angeboten übernimmt in der Regel der Hosting-Anbieter die Bereitstellung und Wartung der PHP-Laufzeitumgebung. Betreiber eigener Server müssen sich dagegen selbst um die Installation der entsprechenden Updates kümmern.
BSI rechnet mit großflächigen Cyberangriffen
Das BSI hält es für wahrscheinlich, dass Angreifer unmittelbar nach Veröffentlichung der Sicherheitsupdates versuchen werden, die Schwachstellen gezielt auszunutzen.
BSI-Vizepräsident Thomas Caspers warnt:
„Wir halten eine kurzfristige, großflächige Ausnutzung innerhalb weniger Stunden nach Erscheinen der Sicherheitsupdates für wahrscheinlich.“
Hintergrund ist die zunehmende Geschwindigkeit, mit der Sicherheitslücken analysiert und für Angriffe ausgenutzt werden können. Mithilfe künstlicher Intelligenz lassen sich veröffentlichte Sicherheitsupdates untersuchen und möglicherweise innerhalb kurzer Zeit funktionsfähige Angriffswerkzeuge entwickeln.
Hinzu kommt, dass nach Angaben des österreichischen Computer Emergency Response Teams CERT.at bereits vermeintlicher Exploit-Code im Internet aufgetaucht ist. Ob dieser tatsächlich funktionsfähig ist, konnte die Behörde zunächst nicht bestätigen.
Sicherheitsupdates sollen am 21. Oktober um 16 Uhr erscheinen
Das PHP-Entwicklerteam hat angekündigt, die erforderlichen Sicherheitsupdates am Mittwoch, den 21. Oktober 2026, um 16 Uhr deutscher Zeit zu veröffentlichen.
Das BSI fordert Administratoren und IT-Sicherheitsverantwortliche auf, die Aktualisierungen unmittelbar nach ihrer Bereitstellung einzuspielen. Unternehmen und Organisationen sollten dafür ausreichend Personal bereithalten.
Überdies empfiehlt die Behörde, den tatsächlichen Installationsstand anhand der veröffentlichten Sicherheitshinweise zu überprüfen und öffentlich erreichbare PHP-Webserver verstärkt auf verdächtige Aktivitäten zu überwachen.
Bei besonders gefährdeten Systemen kann es sinnvoll sein, deren Erreichbarkeit vorübergehend einzuschränken, bis die Schwachstellen geschlossen sind. Das Rechenzentrum der Universität Freiburg hat beispielsweise bereits mehrere zentrale Systeme vorsorglich vom Netz getrennt.
Was Webseitenbetreiber jetzt tun sollten
Für Betreiber von PHP-basierten Webseiten und Webanwendungen besteht dringender Handlungsbedarf. Folgende Maßnahmen sind besonders wichtig:
- PHP-Version überprüfen: Im Hosting-Verwaltungsbereich oder in der Serverkonfiguration feststellen, welche PHP-Version eingesetzt wird.
- Hosting-Anbieter kontaktieren: Klären, wann die Sicherheitsupdates bereitgestellt und ob diese automatisch installiert werden.
- Sicherheitsupdates installieren: Sobald die korrigierten PHP-Versionen verfügbar sind, die Updates zeitnah einspielen und ihre erfolgreiche Installation kontrollieren.
- Webanwendungen kontrollieren: Nach der Aktualisierung prüfen, ob WordPress, Plug-ins, Onlineshops und andere PHP-Anwendungen weiterhin ordnungsgemäß funktionieren.
- Server überwachen: Protokolldateien und Sicherheitsmeldungen auf ungewöhnliche Zugriffe, verdächtige Prozesse oder andere Anzeichen eines Angriffs untersuchen.
Bei verwalteten Hosting-Paketen sollten Webseitenbetreiber insbesondere prüfen, ob ihr Anbieter die Aktualisierung der PHP-Umgebung übernimmt. Ein gewöhnliches WordPress-Update reicht zur Behebung von Sicherheitslücken in PHP nicht aus.
Sicherheitslage könnte sich innerhalb weniger Stunden verschärfen
Die Dringlichkeit ergibt sich primär aus der weiten Verbreitung von PHP. Sollten Angreifer die Schwachstellen automatisiert ausnutzen können, wären innerhalb kurzer Zeit zahlreiche Webserver potenziell angreifbar. Wie viele Systeme tatsächlich verwundbar sind, lässt sich derzeit nicht zuverlässig beziffern. Ebenso ist noch unklar, in welchem Umfang bereits funktionsfähige Angriffswerkzeuge existieren.
