Zwei kritische PHP-Sicherheitslücken gefährden Websites weltweit

Zwei kritische Sicherheitslücken in PHP könnten es Angreifern ermöglichen, ohne Authentifizierung aus der Ferne Schadcode auf einem Webserver auszuführen. Die Schwachstellen mit einem CVSS-Wert von jeweils 9,2 von 10 betreffen eine der am weitesten verbreiteten Technologien für den Betrieb von Websites und Webanwendungen. Die PHP-Entwickler veröffentlichten deshalb am 21. Oktober 2026 außerplanmäßige Sicherheitsupdates. Unternehmen sollten diese so schnell wie möglich installieren und gleichzeitig überprüfen, ob ihre Systeme möglicherweise bereits kompromittiert wurden.

PHP bildet die technische Grundlage zahlreicher Unternehmenswebsites, Onlineshops, Kundenportale und interner Anwendungen. Auch weit verbreitete Content-Management-Systeme wie WordPress, Drupal und Joomla nutzen PHP. Eine Sicherheitslücke direkt in PHP stellt daher ein besonders ernstes Risiko dar. Sie kann selbst Anwendungen betreffen, deren eigener Quellcode keine bekannten Schwachstellen enthält.

Das aktuelle Sicherheitsproblem betrifft zwei Schwachstellen mit den Kennungen CVE-2026-109618 und CVE-2026-109619. Beide hängen mit einer fehlerhaften Speicherverwaltung bei der Verarbeitung von Anfragen zusammen und können unter bestimmten Bedingungen eine Remote Code Execution (RCE), also die Ausführung von Code aus der Ferne, ermöglichen.

Ein erfolgreicher Angriff kann zu unbefugtem Zugriff auf den Server, zur Manipulation von Anwendungsdateien oder zum Abfluss sensibler Informationen führen. Das tatsächliche Ausmaß des Schadens hängt unter anderem von den Berechtigungen des PHP-Prozesses und der Absicherung der übrigen Infrastruktur ab.

Wie funktionieren die beiden kritischen PHP-Sicherheitslücken?

Obwohl beide Schwachstellen ähnliche Folgen haben können, unterscheiden sich ihre technischen Ursachen. Gemeinsam ist ihnen ein fehlerhafter Umgang mit dem Speicher und dem internen Zustand von PHP bei der Verarbeitung von Webanfragen.

CVE-2026-109618: Fehler bei der Behandlung von Speichermangel

Die erste Schwachstelle hängt mit Situationen zusammen, in denen PHP während der Verarbeitung einer Anfrage nicht mehr genügend Arbeitsspeicher zur Verfügung steht (Out of Memory – OOM).

PHP verwendet einen Mechanismus, mit dem die laufende Verarbeitung in solchen Fällen abgebrochen werden kann. Einige interne Operationen berücksichtigen diesen abrupten Abbruch jedoch möglicherweise nicht korrekt. Dadurch kann Speicher in einem nicht initialisierten oder inkonsistenten Zustand zurückbleiben.

Bei der anschließenden Bereinigung kann PHP diesen Speicher fehlerhaft verarbeiten. Ein Angreifer, der die erforderlichen Bedingungen gezielt herbeiführen kann, könnte den Fehler ausnutzen, um den Speicher des Prozesses zu manipulieren und unter bestimmten Umständen eine Remote Code Execution zu erreichen.

CVE-2026-109619: Zugriff auf bereits freigegebenen Speicher

Die zweite Schwachstelle betrifft interne globale Daten von PHP, die während der Verarbeitung einer Anfrage vorübergehend auf Speicherbereiche verweisen können, die dieser Anfrage zugeordnet sind.

Werden diese Verweise nicht ordnungsgemäß entfernt, können sie auch nach der Freigabe des betreffenden Speichers bestehen bleiben. Bei der Verarbeitung einer nachfolgenden Anfrage kann PHP dadurch auf Speicher zugreifen, der nicht mehr gültig ist.

Diese Art von Schwachstelle wird als Use-After-Free bezeichnet. Eine erfolgreiche Ausnutzung kann den Prozess beeinträchtigen und unter bestimmten Bedingungen die Ausführung von Angreifercode ermöglichen.

Beide Schwachstellen wurden nach CVSS v4.0 mit 9,2 Punkten bewertet und gelten damit als kritisch. Ihre praktische Ausnutzbarkeit hängt von der jeweiligen Konfiguration und weiteren Voraussetzungen ab. Die möglichen Folgen sind jedoch so schwerwiegend, dass die PHP-Entwickler eine umgehende Aktualisierung empfehlen.

Welche Websites und Server sind betroffen?

Das Risiko beschränkt sich nicht auf ein bestimmtes Content-Management-System oder Framework. Da die Schwachstellen direkt in PHP liegen, können unterschiedliche Webanwendungen betroffen sein – unabhängig davon, ob es sich um eine öffentliche Website, einen Onlineshop, ein Kundenportal oder ein internes Informationssystem handelt.

Zu den potenziell betroffenen Umgebungen gehören PHP-Installationen, die Webanfragen verarbeiten, darunter PHP-FPM, Apache mit dem Modul mod_php, php-cgi, FrankenPHP und LiteSpeed.

Das bedeutet allerdings nicht, dass jede Installation gleichermaßen leicht angegriffen werden kann. Entscheidend sind die verwendete PHP-Version, die Serverkonfiguration und die Möglichkeit, die für eine Ausnutzung erforderlichen Bedingungen herbeizuführen.

Welche PHP-Versionen enthalten die Sicherheitskorrekturen?

Die PHP-Entwickler veröffentlichten am 21. Oktober 2026 folgende korrigierte Versionen:

Unternehmen, die ältere, nicht mehr unterstützte PHP-Versionen einsetzen, sollten einen Wechsel zu einem unterstützten Versionszweig in Betracht ziehen. Einige Anbieter stellen zwar auch für ältere Versionen Sicherheitskorrekturen bereit, deren Verfügbarkeit muss jedoch beim jeweiligen Anbieter überprüft werden.

Wichtig ist außerdem, Produkte zu überprüfen, die PHP als Bestandteil ihrer Software verwenden. Dazu können beispielsweise Administrationsoberflächen, Netzwerkgeräte oder andere Systeme gehören, bei denen Sicherheitskorrekturen über herstellerspezifische Updates bereitgestellt werden.

Wurden bereits Angriffsversuche beobachtet?

Das neuseeländische National Cyber Security Centre (NCSC) teilte in einer Sicherheitswarnung vom 22. Oktober 2026 mit, dass Berichte über eine aktive Ausnutzung der Schwachstellen vorliegen.

Sicherheitsforscher haben zudem demonstriert, wie sich die Schwachstellen zur Remote Code Execution ausnutzen lassen. Die öffentlich verfügbaren Informationen erlauben bislang jedoch keine verlässliche Einschätzung des gesamten Ausmaßes erfolgreicher Kompromittierungen.

Unternehmen sollten das Problem daher nicht als rein theoretische Bedrohung betrachten. Die Verfügbarkeit technischer Informationen über die Schwachstellen kann Angreifern die Entwicklung weiterer Exploits erleichtern. Nicht aktualisierte Server bleiben dabei potenzielle Angriffsziele.

Es reicht deshalb nicht aus, Sicherheitswarnungen lediglich zu verfolgen. Entscheidend ist, wie schnell ein Unternehmen verwundbare Systeme identifizieren, Sicherheitsupdates einspielen und mögliche Anzeichen einer Kompromittierung untersuchen kann.

Was sollten Unternehmen jetzt tun?

Die Aktualisierung von PHP hat höchste Priorität. Die PHP-Entwickler weisen darauf hin, dass es keine vollständigen alternativen Schutzmaßnahmen gibt, die das Risiko ohne die Installation der Sicherheitskorrekturen zuverlässig beseitigen können.

IT- und Sicherheitsteams sollten dabei mehrere Schritte berücksichtigen.

Alle Systeme mit PHP identifizieren. Die Überprüfung sollte öffentliche Websites, Onlineshops, interne Anwendungen, Administrationsoberflächen, Testumgebungen sowie von externen Dienstleistern betriebene Produkte umfassen. Besondere Aufmerksamkeit verdienen ältere Anwendungen, die möglicherweise nicht in die regulären Patch-Management-Prozesse eingebunden sind.

Sicherheitsupdates unverzüglich installieren. PHP sollte auf eine korrigierte Version oder ein Distributionspaket mit den entsprechenden Sicherheitskorrekturen aktualisiert werden. Anschließend muss überprüft werden, ob die aktualisierte Version tatsächlich verwendet wird. Je nach Umgebung kann ein Neustart der PHP-Prozesse oder der zugehörigen Dienste erforderlich sein.

Mögliche Anzeichen einer Kompromittierung untersuchen. Besondere Aufmerksamkeit verdienen ungewöhnliche HTTP-Anfragen, wiederholte Fehler im Zusammenhang mit Speichermangel, unerwartete Abstürze von PHP-Prozessen, verdächtige Dateiänderungen und unbekannte Prozesse auf dem Server. Solche Ereignisse sind für sich genommen noch kein Beweis für einen Angriff, können jedoch eine eingehendere Untersuchung erforderlich machen.

Die Sicherheit der zugehörigen Infrastruktur überprüfen. Auch nach der Behebung einer konkreten Schwachstelle können weitere Sicherheitslücken bestehen bleiben. Dazu zählen beispielsweise falsch konfigurierte Zugriffsberechtigungen, verwundbare Anwendungskomponenten, unzureichend geschützte APIs oder Fehler in der Serverkonfiguration.

Besteht der Verdacht, dass ein Angreifer die Schwachstellen bereits erfolgreich ausgenutzt hat, sollte das Unternehmen nach seinen etablierten Incident-Response-Prozessen vorgehen.

Das PHP-Update ist der erste Schritt. Was kommt danach?

Durch die Installation der Sicherheitsupdates werden bekannte Schwachstellen behoben. Damit ist die Sicherheitsüberprüfung jedoch nicht abgeschlossen. Hat ein Angreifer die Schwachstelle bereits vor der Aktualisierung ausgenutzt, könnte er Zugriff auf den Server erlangt, Dateien verändert oder einen Mechanismus für einen erneuten Zugriff eingerichtet haben. In einem solchen Fall müssen das Ausmaß der Kompromittierung untersucht und ihre Folgen beseitigt werden.

Eine weitere Frage ist die allgemeine Widerstandsfähigkeit der Webanwendung. Auch nach der Aktualisierung von PHP können Angreifer Schwächen bei der Authentifizierung, unzureichend abgesicherte APIs, fehlerhafte Serverkonfigurationen oder Schwachstellen in anderen Komponenten ausnutzen.

Genau hier setzt Penetration Testing an. Sicherheitsexperten überprüfen Anwendungen und Infrastrukturen aus der Perspektive eines realen Angreifers, testen die tatsächliche Ausnutzbarkeit identifizierter Schwachstellen und bewerten deren mögliche Auswirkungen auf das Unternehmen.

Die kritischen PHP-Sicherheitslücken zeigen erneut, dass Sicherheit nicht von einem einzigen Update abhängt. Sie erfordert eine kontinuierliche Überprüfung eingesetzter Technologien, die zeitnahe Behebung von Schwachstellen und regelmäßige Tests der Wirksamkeit bestehender Sicherheitsmaßnahmen.