##Zwei kritische Schwachstellen erfordern sofortiges Handeln
Am 21. Oktober 2026 wurden zwei schwerwiegende Sicherheitslücken in der weitverbreiteten Programmiersprache PHP veröffentlicht. Die Schwachstellen **CVE-2026-109618 und CVE-2026-109619** werden mit einem kritischen Schweregrad von jeweils **9,2 von 10 Punkten (CVSS 4.0)** bewertet.
Besonders kritisch: Angreifer können unter bestimmten Voraussetzungen aus der Ferne Schadcode auf betroffenen Serversystemen ausführen, ohne sich zuvor anmelden zu müssen.
Das österreichische Computer Emergency Response Team [CERT.at](https://www.cert.at/de/warnungen/2026/10/kritische-sicherheitslucken-in-php-updates-verfugbar) sowie die europäische Cybersicherheitsagentur [ENISA](https://www.enisa.europa.eu/news/joint-statement-on-critical-php-vulnerabilities) warnen ausdrücklich vor den Schwachstellen und empfehlen die unverzügliche Installation der verfügbaren Sicherheitsupdates.
## Warum sind so viele Systeme betroffen?
PHP gehört zu den weltweit am häufigsten verwendeten Programmiersprachen für Webseiten und webbasierte Anwendungen.
Unter anderem verwenden zahlreiche Systeme PHP:
- WordPress, Joomla und Drupal
- Onlineshops und Online-Buchungssysteme
- Kundenportale und Verwaltungsoberflächen
- Webbasierte Unternehmenssoftware
- Individuell entwickelte Webanwendungen
- Interne Verwaltungs- und Serversysteme
Die Sicherheitslücken befinden sich in der PHP-Laufzeitumgebung selbst. Dadurch können auch Anwendungen betroffen sein, deren eigentlicher Programmcode keine bekannten Sicherheitslücken aufweist.
Laut der [offiziellen PHP-Sicherheitswarnung](https://www.php.net/archive/2026.php#2026-10-21-5) sind grundsätzlich alle verwundbaren PHP-Installationen relevant, die Webanfragen verarbeiten. Dazu gehören PHP-FPM, Apache mit mod_php, php-cgi, FrankenPHP und LiteSpeed.
Besonders gefährdet sind öffentlich über das Internet erreichbare Serversysteme
## Welche konkreten Gefahren bestehen?
Eine erfolgreiche Ausnutzung kann erhebliche Auswirkungen auf die IT-Sicherheit und den Geschäftsbetrieb haben.
Unbefugter Zugriff: Angreifer können unter bestimmten Voraussetzungen Programmcode mit den Berechtigungen des PHP-Prozesses ausführen.
Datendiebstahl: Vertrauliche Unternehmensinformationen, Kundendaten und Zugangsinformationen können gefährdet sein.
Manipulation: Webseiten und Anwendungen könnten verändert oder zur Verbreitung von Schadsoftware missbraucht werden.
Betriebsunterbrechungen: Erfolgreiche Angriffe können zum Ausfall geschäftskritischer Anwendungen führen.
Datenschutzrisiken: Werden personenbezogene Daten kompromittiert, können Melde- und Informationspflichten nach der DSGVO entstehen.
Laut [CERT.at](https://www.cert.at/de/warnungen/2026/10/kritische-sicherheitslucken-in-php-updates-verfugbar) ermöglicht eine der Schwachstellen zusätzlich das Auslesen von Speicherinhalten. Das Risiko wird bei Apache mit mod_php besonders hoch eingeschätzt, da hierfür bereits ein entsprechender Angriffsweg demonstriert wurde.
## Welche PHP-Versionen sind betroffen?
Das PHP-Entwicklerteam hat am 21. Oktober 2026 Sicherheitsupdates veröffentlicht.
| PHP-Version | Erforderlicher Sicherheitsstand
| PHP 8.5 | 8.5.12 oder neuer |
| PHP 8.4 | 8.4.27 oder neuer |
| PHP 8.3 | 8.3.36 oder neuer |
| PHP 8.2 | 8.2.35 oder neuer |
| PHP 8.1 und älter | Nicht mehr regulär unterstützt |
Quelle: [Offizielle PHP-Sicherheitsupdates vom 21. Oktober 2026](https://www.php.net/archive/2026.php).
Bei älteren Versionen ist eine gesonderte Bewertung erforderlich. Einige Betriebssystemhersteller stellen Sicherheitskorrekturen auch für ältere Softwarestände bereit.
Wichtig: Die bloße Versionsnummer lässt bei herstellerspezifisch gewarteten PHP-Paketen nicht immer eindeutig erkennen, ob die Sicherheitslücke bereits behoben wurde.
## Besteht bereits eine konkrete Bedrohung?
Bereits vor der Veröffentlichung der Sicherheitsupdates wurde vor möglichen Angriffen gewarnt.
[CERT.at berichtete am 21. Oktober 2026](https://www.cert.at/de/aktuelles/2026/10/bevorstehendes-kritisches-php-sicherheitsupdate), dass bereits öffentlich verfügbarer Exploitcode aufgetaucht sei. Dessen tatsächliche Funktionsfähigkeit konnte zu diesem Zeitpunkt jedoch nicht bestätigt werden.
Da die Sicherheitsupdates inzwischen veröffentlicht wurden, können Angreifer durch die Analyse der Korrekturen weitere Erkenntnisse über die Schwachstellen gewinnen.
Daher besteht insbesondere bei nicht aktualisierten, öffentlich erreichbaren Systemen dringender Handlungsbedarf.
## Welche Maßnahmen sollten Unternehmen jetzt ergreifen?
Die [europäische Cybersicherheitsagentur ENISA](https://www.enisa.europa.eu/news/joint-statement-on-critical-php-vulnerabilities) empfiehlt, sämtliche PHP-basierten Anwendungen zu identifizieren, die notwendigen Updates mit Hosting- und Softwaredienstleistern abzustimmen und öffentlich erreichbare Systeme vorrangig abzusichern.
Wir empfehlen insbesondere:
1. PHP-Versionen überprüfen: Alle Webseiten, Webserver und internen PHP-Anwendungen erfassen.
2. Sicherheitsupdates installieren: Verfügbare Updates nach entsprechender Kompatibilitätsprüfung unverzüglich einspielen.
3. Softwarehersteller kontaktieren: Bei branchenspezifischen Anwendungen notwendige Aktualisierungen mit dem Hersteller abstimmen.
4. Externe Erreichbarkeit prüfen: Öffentlich erreichbare Anwendungen besonders priorisieren.
5. Vorübergehende Schutzmaßnahmen setzen: Ist kein sofortiges Update möglich, müssen zusätzliche Maßnahmen bis hin zur Einschränkung des externen Zugriffs geprüft werden.
Das [PHP-Entwicklerteam](https://www.php.net/archive/2026.php#2026-10-21-5) weist ausdrücklich darauf hin, dass es keine vollständig wirksamen Ersatzmaßnahmen für die Sicherheitsupdates gibt.
Ein Sicherheitsupdate ist daher die entscheidende Maßnahme zur nachhaltigen Behebung dieser Schwachstellen.
## Was unternehmen wir für unsere Kunden?
Wir arbeiten bereits gemeinsam mit unseren Technologiepartnern und Herstellern an einer Lösung, um Webseiten gezielt auf ihre eingesetzten PHP-Versionen zu überprüfen und mögliche Sicherheitslücken zu identifizieren.
Parallel dazu befassen wir uns mit PHP-Installationen auf intern betriebenen Systemen.
Kunden, bei denen ein möglicher Handlungsbedarf festgestellt wird, informieren wir gezielt. Dadurch können notwendige Softwareupdates mit den jeweiligen Softwarelieferanten abgestimmt oder individuelle Sicherheitsmaßnahmen eingeleitet werden.
Unser Ziel ist es, potenzielle Risiken möglichst frühzeitig zu erkennen und gemeinsam mit den zuständigen Herstellern geeignete Lösungen zu erarbeiten.
## Fazit: IT-Sicherheit erfordert rasches Handeln
Die aktuellen PHP-Sicherheitslücken zeigen deutlich, dass auch etablierte und regelmäßig eingesetzte Technologien schwerwiegende Sicherheitsrisiken aufweisen können.
Unternehmen sollten daher nicht darauf vertrauen, dass funktionierende Webseiten und Anwendungen automatisch sicher sind.
Eine zeitnahe Überprüfung der eingesetzten Softwarestände sowie die Installation verfügbarer Sicherheitsupdates sind dringend zu empfehlen.
Wir beobachten die weitere Entwicklung und unterstützen unsere Kunden bei der Bewertung möglicher Risiken und der Abstimmung notwendiger Maßnahmen.
Sie sind unsicher, ob Ihre Webseite oder Unternehmenssoftware betroffen ist?
Kontaktieren Sie uns – wir unterstützen Sie gerne bei der weiteren Vorgehensweise.
---
*Stand: 22. Oktober 2026. Grundlage dieses Beitrags sind die offiziellen Sicherheitsinformationen des PHP-Entwicklerteams, CERT.at und ENISA. Ob eine konkrete Installation betroffen ist, muss individuell überprüft werden.*