vNext Cyber-Alerts: PHP – aktiv ausgenutzte Lücken bedrohen Websites und Shops
Stand: 24. Oktober 2026
Zwei kritische PHP-Lücken werden bereits aktiv ausgenutzt. Betroffen sein können Firmenwebsites, Onlineshops und Kundenportale – auch bei externen Hosting-Anbietern. Beauftragen Sie Ihren Web- oder IT-Dienstleister heute damit, den Schutz zu bestätigen und nach Angriffsspuren zu suchen.
Was ist passiert?
PHP veröffentlichte am 21. Oktober 2026 Sicherheitsupdates für CVE-2026-109618 und CVE-2026-109619. Verwundbare Systeme können über Webanfragen ohne Anmeldung zur Ausführung fremden Codes gebracht werden. Amazon Threat Intelligence beobachtete einen Ausnutzungsversuch bereits am 17. Oktober, vor der öffentlichen Bekanntgabe, und meldet inzwischen verbreitete aktive Ausnutzung.
Könnte mein Unternehmen betroffen sein?
Ja, wenn Ihre Website, Ihr Shop oder ein Portal auf PHP läuft und der zugrunde liegende Dienst noch verwundbar ist. Fragen Sie auch bei betreutem Hosting nach. Ein aktualisiertes CMS oder Plugin bestätigt noch nicht, dass die PHP-Laufzeit geschützt ist.
Was sollten Sie jetzt tun?
Geben Sie Ihrem Web- oder IT-Dienstleister diesen Auftrag:
Öffentlich erreichbare PHP-Dienste erfassen und den wirksamen Patchstand bestätigen lassen.
PHP auf einen korrigierten Stand aktualisieren beziehungsweise einen belegten Hersteller-Backport einsetzen; anschliessend die tatsächlich laufenden Dienste kontrollieren.
Webserver-Protokolle, unerwartete Prozesse und Dateiänderungen mindestens seit dem 17. Oktober prüfen. Bei Verdacht auf einen Einbruch die Incident-Response-Abklärung veranlassen.
Den ergänzenden PHP-Hinweis vom 23. Oktober zur Session-Upload-Funktion prüfen und empfohlene Schutzmassnahmen berücksichtigen.
Wie dringend ist es?
Sehr dringend bei öffentlich erreichbaren, noch verwundbaren PHP-Diensten. Lassen Sie die Prüfung heute priorisieren und die Umsetzung bestätigen. Temporäre Schutzregeln können die Angriffsfläche reduzieren, ersetzen die Sicherheitsupdates aber nicht. Ein nachgewiesener Angriff erfordert zusätzliche Abklärung.
Informationen für Ihren IT-Dienstleister
CVE-2026-109618 betrifft Speicherbeschädigung bei Speichermangel; CVE-2026-109619 veralteten globalen Zustand nach Freigabe von Speicher. Das PHP-Projekt nennt alle Web-SAPIs als zu prüfen, darunter PHP-FPM, mod_php, php-cgi, FrankenPHP und LiteSpeed; das Risiko ist bei mod_php besonders hoch.
Korrigierte Upstream-Releases: PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35. Bei Distributionen und Hosting den konkreten Backport verifizieren; ältere Zweige benötigen eine Herstellerlösung oder ein Upgrade.
Zusatzhinweis vom 23. Oktober: PHP empfiehlt bis zum nächsten regulären Bugfix-Release session.upload_progress.enabled=0 für einen weiteren, seltenen RCE-Pfad (CVE-2026-115560). Er setzt besondere Konfigurations- und Anwendungsschritte voraus. Anwendungen ohne Laufzeitwechsel des Session-Serializers können die Funktion laut PHP aktiviert lassen. Dieser Zusatzhinweis ist von den beiden bereits korrigierten kritischen Lücken zu unterscheiden.