Kurzmeldung
Am 21. und 22. Oktober 2026 veröffentlichten die PHP‑Entwickler und Sicherheitsbehörden Notfallhinweise und Patches für zwei als kritisch bewertete Schwachstellen in der Laufzeitumgebung PHP, die unter den Kennungen CVE‑2026‑109618 und CVE‑2026‑109619 geführt werden. Das Bundesamt für Sicherheit in der Informationstechnik hat Betreiber internetseitiger Anwendungen ausdrücklich aufgefordert, die aktualisierten Versionen einzuspielen oder betroffene Dienste notfalls vom Netz zu nehmen.
Viele Kommunen, Universitätsseiten, Kliniken und Hosting‑Provider reagierten daraufhin und nahmen Dienste zunächst offline, bevor nach erfolgreichem Einspielen der Updates schrittweise die Erreichbarkeit wiederhergestellt wurde. Die Schwachstellen, in Berichten auch als „PHP2Shell“ bezeichnet, ermöglichen nach technischer Analyse in bestimmten Standardkonfigurationen eine ferngesteuerte Ausführung von Code ohne vorherige Authentifizierung. Sicherheitsfirmen und Verteiler berichteten schnell von verfügbaren Exploit‑Werkzeugen, weshalb die Dringlichkeit für rasches Patchen hoch blieb.
Betreiber sollten Systeme, die vor der Veröffentlichung nicht aktualisiert worden sind, als potenziell kompromittiert betrachten und forensisch untersuchen. Landesrechenzentren und große Hoster geben an, die Wiederschaltung nur nach zusätzlichen Kontrollen und mit eingeschränkten Funktionen vorzunehmen. Parallel empfehlen nationale und europäische Stellen, betroffene Komponenten dauerhaft zu aktualisieren und gegebenenfalls Web‑Application‑Firewalls und Sicherheitsregeln temporär zu verschärfen, bis alle Systeme geprüft sind.
Aussagen von BSI, der PHP Foundation und der EU‑Agentur für Cybersicherheit zu den Patches liegen in offiziellen Hinweisen vor; eine flächendeckende Bestätigung umfangreicher Datendiebstähle konnte die Redaktion zum Zeitpunkt der Prüfung nicht feststellen. Für Betreiber bleibt dennoch: kurzfristig handeln, langfristig nachprüfen.
Redakteurin: Mira Cadena (Artikel mit KI-Unterstützung).