Swiss KMU Cyber-Alert: Firmenwebsites – kritische PHP-Lücken werden aktiv ausgenutzt
Zwei kritische Sicherheitslücken in PHP werden laut Amazon bereits aktiv ausgenutzt. PHP läuft im Hintergrund vieler Firmenwebsites, WordPress-Seiten und Onlineshops; Angreifer können verwundbare Webserver ohne Anmeldung zur Ausführung von Code bringen. Falls Ihr Unternehmen eine Website oder einen Onlineshop betreibt, sollte Ihr Web- oder IT-Dienstleister PHP jetzt aktualisieren und nach Angriffsspuren seit dem 17. Oktober 2026 suchen.
Was ist passiert?
Das PHP-Projekt veröffentlichte am 21. Oktober 2026 Notfallupdates für CVE-2026-109618 und CVE-2026-109619. Beide Lücken betreffen PHP-Installationen, die Webanfragen verarbeiten. Ein erfolgreicher Angriff kann fremden Code mit den Rechten des PHP-Prozesses ausführen; CVE-2026-109619 kann zudem Speicherinhalte offenlegen. Amazon beobachtete erste Angriffsversuche am 17. Oktober und bezeichnet die Lücken inzwischen als breit aktiv ausgenutzt.
Könnte mein Unternehmen betroffen sein?
Ja, wenn eine öffentlich erreichbare Website, ein Kundenportal oder ein Onlineshop auf PHP läuft – auf einem eigenen Server oder beim Hosting- oder Web-Dienstleister. WordPress, WooCommerce, Drupal, Joomla und Magento basieren häufig auf PHP. Entscheidend ist die PHP-Version des darunterliegenden Webservers.
Was sollten Sie jetzt tun?
Beauftragen Sie Ihren Web- oder IT-Dienstleister heute mit diesen Punkten:
• Alle öffentlich erreichbaren PHP-Systeme und Hosting-Pakete inventarisieren.
• Auf PHP 8.5.12, 8.4.27, 8.3.36, 8.2.35 oder ein nachweislich gepatchtes Paket des Betriebssystem- oder Hosting-Anbieters aktualisieren.
• Webserver-Logs, unerwartete Prozesse und Dateiänderungen mindestens ab dem 17. Oktober 2026 auf eine mögliche Kompromittierung prüfen.
PHP 8.1 und älter erhält vom PHP-Projekt keine regulären Updates mehr. Der Dienstleister muss klären, ob ein Backport bereitsteht oder ein Upgrade nötig ist.
Wie dringend ist es?
Sehr dringend. Die Angriffe benötigen keine Anmeldung, funktionierende Exploits erschienen unmittelbar nach Veröffentlichung der Updates, und reine Konfigurationsänderungen bieten keinen vollständigen Schutz. Internetseitig erreichbare Systeme sollten in Stunden, nicht in Wochen, geprüft werden.
Informationen für Ihren IT-Dienstleister
CVE-2026-109618: Remote Code Execution durch Speicherbeschädigung bei Speichermangel. CVE-2026-109619: Remote Code Execution durch veralteten globalen Zustand beziehungsweise Use-after-free; zusätzlich ist eine Offenlegung von Speicherinhalten möglich.
Betroffen sind Webanfragen verarbeitende PHP-Installationen, darunter PHP-FPM, Apache mod_php, php-cgi, FrankenPHP und LiteSpeed. Behobene Upstream-Versionen: PHP 8.5.12, 8.4.27, 8.3.36, 8.2.35. Bei Distributionen oder LTS-Angeboten muss die zurückportierte Herstellerkorrektur verifiziert werden.
Threat Hunting ab 17. Oktober 2026: POST-Anfragen mit PHP_SESSION_UPLOAD_PROGRESS, verdächtige Kindprozesse des Webservers und unerwartete Dateiänderungen prüfen.
AWS-Untersuchungsindikatoren: 103.216.220.92, 31.223.184.166, 37.19.200.5, 134.209.159.64, 103.114.163.188, 95.217.98.37. Da Adressen zu gemeinsam genutzten Anonymisierungsdiensten gehören können, sind sie Untersuchungshinweise und keine alleinige Sperrliste.
Offizielle Quellen
PHP-Projekt: https://www.php.net/archive/2026.php
AWS Security Blog: https://aws.amazon.com/blogs/security/php-vulnerabilities-cve-2026-109618-and-cve-2026-109619/
