Kritische PHP-Sicherheitslücke: Warum schnelles Handeln für Unternehmen entscheidend ist
Die Website der Berliner Charité war zeitweise nicht erreichbar. Auch andere Organisationen schalteten ihre Internetseiten vorsorglich ab. Auslöser waren zwei kritische Sicherheitslücken in der weitverbreiteten Programmiersprache PHP. Der Vorfall zeigt, wie schnell selbst etablierte IT-Systeme zum Sicherheitsrisiko werden können – und warum es bei Cybersecurity nicht nur auf die Vermeidung von Schwachstellen, sondern vor allem auf den richtigen Umgang damit ankommt.
Was ist passiert? Die PHP-Sicherheitslücke im Oktober 2026
Am 20. Oktober 2026 wurde öffentlich vor zwei kritischen Schwachstellen in PHP gewarnt. Sie tragen die Bezeichnungen CVE-2026-109618 und CVE-2026-109619 und wurden jeweils mit einem Schweregrad von 9,2 von 10 Punkten bewertet.
Das Besondere: Informationen über die Schwachstellen gelangten an die Öffentlichkeit, bevor die geplanten Sicherheitsupdates bereitstanden.
Dadurch entstand eine besonders kritische Situation. Potenzielle Angreifer erhielten Hinweise auf die Sicherheitslücken, während betroffene Unternehmen ihre Systeme zunächst noch nicht vollständig durch ein Update absichern konnten.
Unter anderem entschied sich die Berliner Charité deshalb, ihre Website vorsorglich vom Netz zu nehmen. Eine Sicherheitsmaßnahme, die das Risiko eines Angriffs während dieser kritischen Phase reduzieren sollte.
Am 21. Oktober veröffentlichte das PHP-Entwicklungsteam schließlich die notwendigen Sicherheitsupdates.
Damit konnten Betreiber betroffener Systeme beginnen, die Schwachstellen dauerhaft zu schließen.
Doch auch nach Veröffentlichung der Updates bleibt eine wichtige Frage: Sind tatsächlich alle betroffenen Systeme aktualisiert worden?
Was ist PHP und warum betrifft das so viele Unternehmen?
PHP ist eine Programmiersprache, die auf Webservern ausgeführt wird. Vereinfacht gesagt übernimmt sie viele Aufgaben, die Besucher einer Website nicht direkt sehen.
Sie verarbeitet beispielsweise Formulareingaben, ruft Informationen aus Datenbanken ab oder ermöglicht die Anmeldung in einem Kundenportal.
PHP wird unter anderem eingesetzt bei:
- WordPress-Websites und Unternehmensblogs
- Onlineshops und Bestellsystemen
- Buchungs- und Terminverwaltungssystemen
- Kundenportalen und Mitgliederbereichen
- Individuell entwickelten Webanwendungen
Viele Unternehmen nutzen PHP, ohne sich dessen bewusst zu sein. Schließlich müssen Geschäftsführer oder Mitarbeitende im Marketing nicht wissen, welche Programmiersprache hinter ihrer Website arbeitet.
Für die IT-Sicherheit ist diese Information allerdings entscheidend.
Denn wenn eine grundlegende Technologie wie PHP eine kritische Schwachstelle aufweist, können zahlreiche unterschiedliche Anwendungen betroffen sein.
Warum sind die aktuellen PHP-Sicherheitslücken so gefährlich?
Die beiden Schwachstellen betreffen die PHP-Laufzeitumgebung selbst. Das ist die Software, die PHP-Programme auf dem Server ausführt.
Unter bestimmten Voraussetzungen ermöglichen die Sicherheitslücken eine sogenannte Remote Code Execution, kurz RCE.
Das bedeutet: Angreifer könnten über das Internet eigenen Programmcode auf einem betroffenen Server ausführen, ohne sich vorher mit gültigen Zugangsdaten anmelden zu müssen.
Ein erfolgreicher Angriff könnte beispielsweise dazu führen, dass Daten ausgespäht, Anwendungen manipuliert oder weitere Systeme angegriffen werden.
Wie groß das konkrete Risiko ist, hängt von der eingesetzten PHP-Version, der Serverkonfiguration und der Erreichbarkeit des Systems ab.
Wichtig ist dabei: Die Schwachstellen befinden sich nicht in einer einzelnen Website oder einem bestimmten WordPress-Plugin, sondern in PHP selbst.
Deshalb reicht es nicht aus, lediglich WordPress, ein Content-Management-System oder einzelne Plugins zu aktualisieren.
Die betroffene PHP-Laufzeitumgebung muss ebenfalls abgesichert werden.
Welche PHP-Versionen sind betroffen?
Das PHP-Entwicklungsteam hat am 21. Oktober 2026 Sicherheitsupdates für die unterstützten Versionszweige veröffentlicht.
Die beiden kritischen Schwachstellen wurden mit folgenden Versionen behoben:
PHP-Version
Sicherheitslücken behoben ab
PHP 8.2
8.2.35
PHP 8.3
8.3.36
PHP 8.4
8.4.27
PHP 8.5
8.5.12
Unternehmen, die ältere Versionen einsetzen, sollten ihre Systeme dringend überprüfen.
PHP 8.1 und ältere Versionen erhalten vom offiziellen PHP-Projekt keine regulären Sicherheitsupdates mehr. Teilweise stellen Betriebssystemhersteller oder spezialisierte Anbieter weiterhin eigene Sicherheitskorrekturen bereit. Langfristig ist jedoch ein Upgrade auf eine unterstützte PHP-Version empfehlenswert.
Auch PHP 8.2 erreicht bereits am 31. Dezember 2026 sein offizielles Supportende.
Die reine Versionsnummer reicht bei herstellerspezifisch gepflegten Systemen nicht immer aus, um den Sicherheitsstatus abschließend zu beurteilen. Entscheidend ist, ob die konkreten Schwachstellen nachweislich geschlossen wurden.
Warum selbst gut gewartete IT-Systeme betroffen sein können
Die aktuelle PHP-Sicherheitslücke macht ein grundlegendes Problem der IT-Sicherheit deutlich:
Auch regelmäßig aktualisierte und professionell betreute Systeme können Schwachstellen enthalten, die bislang niemand entdeckt hat.
Solche bislang unbekannten Sicherheitslücken werden häufig als Zero-Day-Schwachstellen bezeichnet, wenn noch kein geeigneter Patch verfügbar ist.
Das bedeutet nicht automatisch, dass Unternehmen ihre IT vernachlässigt haben.
Software ist komplex. Selbst etablierte Technologien, die seit vielen Jahren eingesetzt und kontinuierlich weiterentwickelt werden, können unentdeckte Programmierfehler enthalten.
Vollständige Sicherheit lässt sich deshalb nicht allein durch regelmäßige Updates garantieren.
Vielmehr kommt es darauf an, dass Unternehmen über funktionierende Prozesse verfügen, um neue Bedrohungen möglichst schnell zu erkennen und angemessen darauf zu reagieren.
Dazu gehören klare Verantwortlichkeiten, eine aktuelle Übersicht über eingesetzte Systeme, ein zuverlässiges Patchmanagement und eine kontinuierliche Sicherheitsüberwachung.
Was sollten Unternehmen jetzt konkret tun?
Auch wenn die Sicherheitsupdates inzwischen verfügbar sind, sollten Unternehmen nicht automatisch davon ausgehen, dass sämtliche Systeme bereits geschützt sind.
Folgende Maßnahmen sind besonders wichtig:
1. Prüfen, welche Systeme PHP verwenden
Der erste Schritt besteht darin, einen Überblick über die eigene IT-Infrastruktur zu gewinnen.
Dabei sollte nicht nur die Unternehmenswebsite berücksichtigt werden. Auch Onlineshops, Kundenportale, interne Anwendungen und Systeme externer Dienstleister können PHP verwenden.
Nur wer weiß, welche Technologien eingesetzt werden, kann im Ernstfall schnell reagieren.
2. Sicherheitsupdates überprüfen
Bei klassischen Webhosting-Angeboten übernimmt in der Regel der Hosting-Anbieter die Wartung und Aktualisierung der PHP-Umgebung.
Wer keine entsprechende Information erhalten hat, sollte beim Hosting-Anbieter oder zuständigen IT-Dienstleister nachfragen, ob die notwendigen Sicherheitsupdates bereits installiert wurden.
Bei selbst verwalteten Servern liegt die Verantwortung häufig beim Unternehmen beziehungsweise dessen IT-Betreuung.
Wichtig ist außerdem, dass die PHP-Prozesse nach der Aktualisierung neu gestartet werden und tatsächlich die korrigierte Version verwenden.
3. Veraltete PHP-Versionen ablösen
Ältere PHP-Versionen stellen ein langfristiges Sicherheitsrisiko dar, wenn sie nicht mehr mit Sicherheitsupdates versorgt werden.
Unternehmen sollten deshalb prüfen, ob ihre Anwendungen mit aktuellen PHP-Versionen kompatibel sind und notwendige Upgrades rechtzeitig planen.
4. Nicht nur auf Updates vertrauen
Sicherheitsupdates sind unverzichtbar. Sie bilden jedoch nur einen Teil einer umfassenden IT-Sicherheitsstrategie.
Ergänzende Maßnahmen wie Netzwerksegmentierung, Zugriffsbeschränkungen, Endpoint Detection and Response (EDR) sowie kontinuierliche Sicherheitsüberwachung können helfen, Angriffe frühzeitig zu erkennen und mögliche Schäden zu begrenzen.
Bei den aktuellen PHP-Schwachstellen gilt allerdings ausdrücklich: Nur eine wirksame Sicherheitskorrektur behebt die zugrunde liegenden Schwachstellen vollständig.
Zusätzliche Schutzmaßnahmen ersetzen kein notwendiges Update.
5. Zuständigkeiten und Notfallprozesse klären
Wer informiert das Unternehmen über kritische Sicherheitslücken? Wer bewertet das Risiko? Wer entscheidet über notwendige Maßnahmen? Und wer stellt sicher, dass Updates tatsächlich installiert wurden?
Diese Fragen sollten nicht erst beantwortet werden, wenn eine akute Bedrohung besteht.
Ein strukturiertes Schwachstellen- und Patchmanagement hilft Unternehmen, schneller und koordinierter zu reagieren.
PHP-Version prüfen: Ein Hilfsmittel von Eye Security
Unser Cybersecurity-Partner Eye Security hat im Zusammenhang mit den aktuellen Schwachstellen eine Browser-Erweiterung entwickelt, die eine erste Einschätzung der eingesetzten PHP-Version einer Website ermöglicht.
Der sogenannte PHP2Shell Checker versucht zunächst, die PHP-Version direkt zu erkennen.
Da diese Information von Websites häufig nicht öffentlich angezeigt wird, analysiert die Erweiterung ergänzend Hinweise auf das eingesetzte Content-Management-System, eine Web Application Firewall oder einen Load Balancer.
Dafür kommt die Open-Source-Bibliothek Wappalyzergo von ProjectDiscovery zum Einsatz.
Wichtig: Die Ergebnisse liefern lediglich Anhaltspunkte und ersetzen keine technische Sicherheitsprüfung. Eine zuverlässige Bewertung ist insbesondere durch die direkte Kontrolle der PHP-Umgebung auf dem Server möglich.
Die Erweiterung ist im Chrome Web Store verfügbar.
Eine ausführliche technische Bewertung der Sicherheitslücken stellt Eye Security außerdem im Beitrag „PHP2Shell: Our assessment of the risk for systems running PHP“ bereit.
Warum Cybersecurity mehr ist als die Installation von Sicherheitsupdates
Der aktuelle Vorfall zeigt eindrucksvoll, wie schnell aus einer technischen Schwachstelle eine unternehmerische Herausforderung werden kann.
Eine vorübergehend abgeschaltete Website kann beispielsweise die Kommunikation mit Kunden einschränken, Onlinebestellungen verhindern oder digitale Dienstleistungen unterbrechen.
Gleichzeitig kann eine vorsorgliche Abschaltung die richtige Entscheidung sein, wenn dadurch ein schwerwiegender Sicherheitsvorfall verhindert wird.
Die entscheidende Frage lautet deshalb nicht, ob sich jede Sicherheitslücke vermeiden lässt.
Viel wichtiger ist, wie gut ein Unternehmen darauf vorbereitet ist, wenn eine neue Bedrohung bekannt wird.
Dazu gehören insbesondere drei Faktoren:
Transparenz: Unternehmen müssen ihre IT-Infrastruktur kennen und wissen, welche Systeme und Anwendungen im Einsatz sind.
Reaktionsfähigkeit: Kritische Sicherheitsmeldungen müssen zeitnah bewertet und notwendige Maßnahmen schnell umgesetzt werden können.
Kontinuierliche Überwachung: Auffällige Aktivitäten sollten möglichst früh erkannt werden, damit potenzielle Angriffe nicht unbemerkt bleiben.
Diese Faktoren sind wesentliche Bestandteile einer ganzheitlichen IT-Sicherheitsstrategie.
Fazit: Sicherheitslücken wird es immer geben. Entscheidend ist der Umgang damit.
Die kritischen PHP-Sicherheitslücken vom Oktober 2026 zeigen, dass selbst weitverbreitete und kontinuierlich weiterentwickelte Technologien nicht frei von Risiken sind.
Für Unternehmen bedeutet das jedoch nicht, dass sie solchen Bedrohungen hilflos ausgeliefert sind.
Mit einer transparenten IT-Infrastruktur, regelmäßigen Sicherheitsupdates, klaren Verantwortlichkeiten und professioneller Sicherheitsüberwachung lassen sich Risiken deutlich reduzieren.
Gute IT-Sicherheit bedeutet nicht, dass niemals eine Schwachstelle auftritt. Sondern dass Unternehmen wissen, was zu tun ist, wenn es darauf ankommt.
Schneider + Wulf unterstützt Unternehmen dabei, ihre IT-Infrastruktur zuverlässig zu betreiben, Sicherheitsrisiken im Blick zu behalten und geeignete Schutzmaßnahmen umzusetzen.
Sie möchten wissen, wie gut Ihr Unternehmen auf aktuelle und zukünftige Cyberbedrohungen vorbereitet ist?
Sprechen Sie mit den IT-Experten von Schneider + Wulf. Gemeinsam betrachten wir Ihre IT-Infrastruktur und besprechen, welche Maßnahmen für Ihr Unternehmen sinnvoll sind.