Kritische PHP-Schwachstellen: BSI warnt vor Angriffen auf Webserver

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) warnt vor zwei kritischen Schwachstellen in der weitverbreiteten Programmiersprache PHP. Die Sicherheitslücken mit den Kennungen CVE-2026-109618 und CVE-2026-109619 könnten es Angreifern ermöglichen, aus der Ferne Schadcode auf verwundbaren Webservern auszuführen. Beide Schwachstellen erreichen auf der Skala CVSS v4.0 einen kritischen Schweregrad von 9,2 Punkten.

Nach Einschätzung von CERT-EU könnten sämtliche PHP-Versionen ab Version 5 betroffen sein. Welche Versionsstände tatsächlich verwundbar sind, soll mit der Veröffentlichung der Sicherheitsupdates bekannt gegeben werden.

Unter anderem berichtet der Sicherheitsanbieter Patchstack von frühen Angriffen auf PHP-Systeme. Nach eigenen Angaben gingen entsprechende Meldungen mehrerer Hosting-Unternehmen am Mittwochmorgen (21. Oktober) ein.

Warum die Schwachstellen besonders kritisch sind

PHP gehört zu den verbreiteten Programmiersprachen für die serverseitige Verarbeitung von Webanwendungen. Die Software kommt unter anderem in Content-Management-Systemen wie WordPress, Drupal und Joomla, in Onlineshops sowie in individuell entwickelten Unternehmensanwendungen zum Einsatz.

Auch Industrieunternehmen nutzen PHP-basierte Anwendungen, beispielsweise für Kunden- und Serviceportale, interne Verwaltungsoberflächen oder webbasierte Datenbankanwendungen. Eine Sicherheitslücke in der PHP-Laufzeitumgebung kann deshalb unterschiedliche Anwendungen betreffen, ohne dass diese selbst einen Programmierfehler enthalten.

Bei einer sogenannten Remote Code Execution (RCE) können Angreifer eigenen Programmcode auf einem entfernten System ausführen. Je nach Konfiguration und Berechtigungen des betroffenen Prozesses lassen sich damit möglicherweise vertrauliche Informationen auslesen, Anwendungen manipulieren oder weitere Angriffe auf angeschlossene IT-Systeme vorbereiten.

BSI rechnet mit rascher Ausnutzung

Das BSI geht davon aus, dass Angreifer die Schwachstellen innerhalb kurzer Zeit ausnutzen könnten. Eine zusätzliche Gefahr besteht , weil sich aus veröffentlichten Sicherheitsupdates Rückschlüsse auf die zugrunde liegenden Programmierfehler ziehen lassen.

„Wir halten eine kurzfristige, großflächige Ausnutzung innerhalb weniger Stunden nach Erscheinen der Sicherheitsupdates für wahrscheinlich Angreifer können diese mittels KI-gestützter Werkzeuge innerhalb kurzer Zeit analysieren und entsprechende Exploits generieren. Es besteht also unverzüglicher Handlungsbedarf!“, warnt BSI-Vizepräsident Thomas Caspers. KI-gestützte Werkzeuge könnten die Analyse der Patches und die Entwicklung entsprechender Angriffswerkzeuge beschleunigen.

Auch der Digitalverband Bitkom fordert Betreiber zu sofortigen Sicherheitsmaßnahmen auf. „Diese Sicherheitslücken sind sehr ernst, denn PHP läuft auf einem großen Teil der Webserver weltweit, von Online-Shops über Unternehmenswebsites bis zu Portalen der Verwaltung“, sagt Felix Kuhlenkamp, Leiter Sicherheit beim Bitkom. Er erinnert an die Angriffswellen auf Microsoft-Exchange-Server und die Schwachstelle Log4Shell im Jahr 2021. In beiden Fällen suchten Angreifer innerhalb kurzer Zeit weltweit nach verwundbaren Systemen.

CERTs empfehlen vorübergehende Abschottung

Angesichts des hohen Risikos empfehlen CERT-EU und das RUS-CERT der Universität Stuttgart, gefährdete Dienste bis zur Installation der Sicherheitsupdates vorübergehend offline zu nehmen oder ihre Erreichbarkeit einzuschränken.

Hier gibt es das Sicherheits-Update

Das PHP-Entwicklerteam stellt das Sicherheitsupdate auf Github zur Verfügung. Administratoren sollten die abgesicherten Versionen unmittelbar nach deren Verfügbarkeit installieren und anschließend prüfen, ob die Schwachstellen tatsächlich geschlossen sind.

Dabei müssen sie auch den jeweiligen Bereitstellungsweg berücksichtigen. Abhängig von der Systemumgebung erfolgen Aktualisierungen über die PHP-Entwickler, Betriebssystemdistributionen, Hosting-Anbieter oder Softwarehersteller.

Besondere Aufmerksamkeit erfordern ältere PHP-Installationen, für die keine regulären Sicherheitsupdates mehr erscheinen. Betreiber müssen prüfen, ob ihr Anbieter weiterhin Sicherheitspatches bereitstellt. Andernfalls sind eine Migration auf eine unterstützte Version oder eine vorübergehende Abschottung der betroffenen Anwendung notwendig. Zusätzlich sollten Unternehmen ihre PHP-basierten Systeme auf verdächtige Aktivitäten untersuchen. Hinweise auf Angriffe können ungewöhnliche Zugriffe, unerwartet gestartete Prozesse oder nicht autorisierte Veränderungen von Dateien sein.