Sofort updaten!: Patches schließen hoch­ris­kante Sicherheitslücken in PHP

Das BSI warnt vor einer kritischen Schwachstelle in der Programmiersprache PHP, die weltweit Webanwendungen bedroht. Angreifer könnten die Lücke ausnutzen, um schadhaften Code auszuführen. Mittlerweile stehen mehrere Patches bereit, die Administratoren schnellstmöglich aufspielen sollten.

„Mit Kenntnis derartiger Schwachstellen könnte es Angreifern gelingen, massive Angriffskampagnen durchzuführen und IT-Systeme aus den unterschiedlichsten Anwendungsbereichen zu kompromittieren“, warnt das BSI und verrät weitere Details zu den Schwachstellen, die auch als „PHP2Shell“ bezeichnet werden und Erinnerungen an die schwerwiegende Sicherheitslücke „Log4Shell“ in der Java-Bibliothek Log4j wecken.

Etwa seit 16 Uhr stehen mehrere PHP-Updates bereit, die die Sicherheitslücke schließen sollen. Auf der offiziellen Seite der PHP Foundation wird ein Update auf PHP 8.5.12, 8.4.27, 8.3.36 oder 8.2.35 empfohlen. Experten warnen: Die Updates sollten schnellstmöglich installiert werden, denn dank den heutigen Möglichkeiten mit Künstlicher Intelligenz können Angreifer überaus schnell Code erstellen, um die Lücke auszunutzen.

Wir halten eine kurzfristige, großflächige Ausnutzung innerhalb weniger Stunden nach Erscheinen der Sicherheitsupdates für wahrscheinlich: Angreifer können diese mittels KI-gestützter Werkzeuge innerhalb kurzer Zeit analysieren und entsprechende Exploits generieren. Es besteht also unverzüglicher Handlungsbedarf!

BSI-Vizepräsident Thomas Caspers

Mit Freigabe der Updates sind jetzt auch weitere Details zu den Lücken bekannt:

1. RCE via OOM corruption (CVE-2026-109618, GHSA-w8hw-w9fx-j79w): out-of-memory handling can interrupt PHP while internal request data is only partially initialized. Request cleanup may then treat the invalid data as valid.
2. RCE via stale global state (CVE-2026-109619, GHSA-6wmf-4rv5-p3rp): request-owned internal state can survive after its backing memory has been freed. A later request handled by the same worker may use that stale state before normal initialization resets it.

Was ist passiert?

Normalerweise werden zuerst Sicherheitslücken per Updates behoben und dann wird über sie gesprochen. Doch dieses Mal lief es anders: Am Dienstagnachmittag hatte The PHP Group ein Update für zwei bereits mit einer CVC-Karteinummer versehene, sehr kritische Sicherheitslücken in PHP für heute 16 Uhr mitteleuropäischer Zeit angekündigt.

Mit dieser Ankündigung sollte es Admins weltweit ermöglicht werden, die Patches bei Freigabe schnellstmöglich einzuspielen. Denn in Zeiten Künstlicher Intelligenz mit exzellentem Code-Verständnis liegt auf der Hand, dass ein Patch, der eine Lücke schließt, diese Lücke offenlegt – und ausnutzbar macht.

The PHP security team would like to give advance notice of an upcoming security release.

It is scheduled for Wednesday, 21 October 2026 at 14:00 UTC.

It addresses two critical vulnerabilities, both rated CVSS v4.0 9.2.

All PHP users are encouraged to prepare now so they can upgrade as soon as the release is available.

We reserve the right to release earlier should details of either vulnerability become public, or should evidence of active exploitation appear in the wild.

Full details, affected versions, and the fixed versions will be published with the release.

Thank you for helping us keep PHP secure.

Zugleich ging die Sorge um, einschlägige Informationen zu den Lücken, die das Ausführen fremden Codes aus der Ferne erlauben, könnten im Vorfeld publik werden. Für diesen Fall behielt sich PHP vor die Patches auch früher zu veröffentlichen, den ein oder anderen Admin damit zu überrumpeln, aber aufmerksame Administratoren so die notwendige Mitigation an die Hand zu geben.

ComputerBase hat das Update schon

Wir hatten schon in der Nacht Vorkehrungen getroffen es Angreifern tendenziell schwerer zu machen die uns bis dato unbekannte Lücke auszunutzen, was auch Auswirkungen auf euch haben konnte und auch noch haben kann. Das Blockieren zahlreicher Requests führt nämlich bei Lesern, die ComputerBase via VPN aufrufen, zu einer Fehlermeldung.

Inzwischen laufen die ComputerBase-Server bereits mit PHP 8.5.12. Dennoch bleiben die Einschränkungen vorerst bestehen.