Webserver jetzt unverzüglich aktualisieren
Das Bundesamt für Sicherheit in der Informationstechnik (BSI) warnt vor zwei kritischen Sicherheitslücken in PHP. Betroffen sind nach aktuellem Kenntnisstand sämtliche PHP-Versionen – auch ältere, nicht mehr unterstützte Versionen. Betreiber von PHP-basierten Webanwendungen sollten die verfügbaren Sicherheitsupdates unverzüglich einspielen.
Die Schwachstellen CVE-2026-109618 und CVE-2026-109619 werden mit einem CVSS-Score von 9,2 von 10 bewertet. Unter bestimmten Voraussetzungen könnten Angreifer darüber Schadcode auf einem Webserver ausführen – ohne vorherige Anmeldung und ohne Interaktion durch Nutzerinnen oder Nutzer.
Da PHP eine Grundlage für zahlreiche Webanwendungen und Systeme ist, besteht ein besonders hohes Risiko für öffentlich erreichbare Server. Betroffen sein können unter anderem Installationen von WordPress, TYPO3, Joomla, Drupal, Nextcloud, Magento sowie weitere Anwendungen und Produkte, die PHP einsetzen.
Detaillierte Informationen können Sie als PDF des BSI hier downloaden
Wer ist betroffen?
Grundsätzlich sind alle Systeme betroffen, auf denen PHP Webanfragen verarbeitet, beispielsweise über:
- PHP-FPM
- Apache mit
mod_php - PHP-CGI
- LiteSpeed
- FrankenPHP
- PHP-basierte Anwendungen in Docker-Containern
- Herstellerprodukte oder Appliances mit integrierter PHP-Laufzeitumgebung
Ein reines Update der jeweiligen Webanwendung reicht nicht aus. Entscheidend ist, dass die PHP-Laufzeitumgebung selbst aktualisiert wird.
Verfügbare Sicherheitsupdates
Die PHP-Entwickler haben Sicherheitsupdates für die folgenden Versionen bereitgestellt:
- PHP 8.5.12
- PHP 8.4.27
- PHP 8.3.36
- PHP 8.2.35
Zusätzlich stehen Backport-Patches für die nicht mehr unterstützten Versionen PHP 7.4, 8.0 und 8.1 zur Verfügung. Trotzdem sollten ältere PHP-Versionen zeitnah auf einen weiterhin unterstützten Versionszweig migriert werden.
Was ist jetzt zu tun?
- PHP-Version prüfen
- Sicherheitsupdates unverzüglich installieren
Wichtig: Distributionen liefern Sicherheitskorrekturen teilweise als Backport aus. Daher muss nicht immer die sichtbare PHP-Hauptversionsnummer exakt mit der PHP-Originalversion übereinstimmen. Maßgeblich sind das Security-Advisory und der Patchstand des jeweiligen Herstellers. - PHP-Dienste und Webserver neu starten
- Container und Appliances berücksichtigen
Docker-Container mit PHP müssen mit einem aktualisierten Basis-Image neu gebaut und ausgerollt werden. Bei NAS-Systemen, Firewalls, Hosting-Paketen oder anderen Herstellerlösungen sollte geprüft werden, ob der Hersteller ein Sicherheitsupdate oder eine neue Firmware bereitgestellt hat - Nicht patchbare Systeme vorübergehend absichern
Falls ein Update nicht sofort möglich ist, empfiehlt das BSI als wirksamste Zwischenmaßnahme, betroffene Systeme vorübergehend vom Internet zu trennen.
Empfehlung von Fischer ICT-Consulting
Für öffentlich erreichbare PHP-Systeme sollte das Update als dringende Sofortmaßnahme behandelt werden. Insbesondere Betreiber von Websites, Kundenportalen, Nextcloud-Instanzen und Content-Management-Systemen sollten den Patchstatus noch am selben Tag prüfen und dokumentieren.
Nach dem Update empfehlen wir außerdem:
- Sicherung und Wiederherstellbarkeit prüfen
- Webserver- und PHP-Logs auf Auffälligkeiten kontrollieren
- Nicht benötigte PHP-Komponenten entfernen
- Alte PHP-Versionen verbindlich ablösen
- Zugriffe auf Administrationsbereiche durch VPN, IP-Freigaben oder Multi-Faktor-Authentifizierung einschränken
