Kritische PHP-Schwachstellen: Unternehmen und Kommunen sollten ihre Systeme jetzt prüfen
Andreas Gutsell
Oktober 26, 2026
Am 21. Oktober 2026 wurden zwei kritische Sicherheitslücken in der weitverbreiteten Programmiersprache PHP bekannt. Die Schwachstellen können es Angreifern unter bestimmten Voraussetzungen ermöglichen, ohne vorherige Anmeldung Schadcode auf betroffenen Servern auszuführen.
Für Unternehmen, Kommunen und öffentliche Einrichtungen besteht daher dringender Handlungsbedarf. Besonders betroffen sein können öffentlich erreichbare Webseiten, Kundenportale und webbasierte Fachanwendungen.
Wir erklären, welche Systeme gefährdet sein können, wie Sie eine mögliche Betroffenheit prüfen und welche Maßnahmen jetzt erforderlich sind.
Was steckt hinter den PHP-Sicherheitslücken?
PHP ist eine der am häufigsten verwendeten Programmiersprachen für Webseiten und Webanwendungen. Sie kommt unter anderem bei Content-Management-Systemen, Onlineportalen und zahlreichen Fachanwendungen zum Einsatz.
Das PHP-Projekt hat am 21. Oktober 2026 zwei kritische Schwachstellen veröffentlicht:
CVE-2026-109618
CVE-2026-109619
Beide Schwachstellen ermöglichen unter bestimmten Voraussetzungen eine sogenannte Remote Code Execution (RCE). Vereinfacht bedeutet dies, dass Angreifer aus der Ferne eigenen Programmcode auf einem betroffenen Server ausführen können, ohne sich zuvor anmelden zu müssen.
Im schlimmsten Fall können dadurch vertrauliche Informationen abgegriffen, Systeme manipuliert oder weitere Angriffe auf die IT-Infrastruktur vorbereitet werden.
Aufgrund der möglichen Auswirkungen empfiehlt das PHP-Projekt eine schnellstmögliche Aktualisierung betroffener Systeme.
Welche Unternehmen und Systeme können betroffen sein?
Grundsätzlich sollten alle Organisationen prüfen, ob sie PHP für ihre Webseiten oder Anwendungen einsetzen.
Besondere Aufmerksamkeit verdienen dabei:
Öffentliche Unternehmenswebseiten und kommunale Internetauftritte
Kunden- und Mitarbeiterportale
Fachanwendungen mit webbasierten Benutzeroberflächen
Webserver und intern betriebene Anwendungen
Anwendungen, die über einen Reverse Proxy erreichbar sind
Von externen IT-Dienstleistern betriebene Webanwendungen
Wichtig: Auch ein Server mit einer internen IP-Adresse ist nicht automatisch vor Angriffen geschützt. Wird eine Anwendung beispielsweise über einen Reverse Proxy aus dem Internet bereitgestellt, können externe Anfragen trotzdem den internen Server erreichen.
Nicht jede Webseite oder Fachanwendung ist automatisch betroffen. Entscheidend ist, ob PHP eingesetzt wird und welchen Sicherheitsstand die jeweilige Installation aufweist.
Wie können Unternehmen prüfen, ob sie betroffen sind?
Eine erste Prüfung sollte gemeinsam mit der eigenen IT-Abteilung oder dem zuständigen IT-Dienstleister erfolgen.
Auf einem Server kann beispielsweise mit folgendem Befehl die installierte PHP-Version abgefragt werden:
php -v
Dieser Befehl liefert eine erste Orientierung. Allerdings reicht die Prüfung allein nicht immer aus, da einzelne Anwendungen eigene PHP-Installationen verwenden können oder auf dem Webserver eine andere Version aktiv sein kann.
Wenn Sie nicht sicher sind, ob Ihre Systeme betroffen sind, sollten Sie folgende Fragen mit Ihrem IT-Dienstleister oder Softwarehersteller klären:
Wird für unsere Webseite oder Fachanwendung PHP eingesetzt?
Welche PHP-Version beziehungsweise welcher Patchstand wird aktuell verwendet?
Ist unsere Installation von den beiden Sicherheitslücken betroffen?
Wurden bereits entsprechende Sicherheitsupdates installiert?
Wer ist für die Aktualisierung verantwortlich?
Gerade bei extern betriebenen Fachanwendungen empfiehlt es sich, aktiv beim jeweiligen Hersteller oder Dienstleister nachzufragen.
Welche PHP-Versionen sind bereits abgesichert?
Das PHP-Projekt hat Sicherheitsupdates veröffentlicht, mit denen die beiden Schwachstellen behoben werden.
Die entsprechenden Versionen lauten:
PHP 8.2.35
PHP 8.3.36
PHP 8.4.27
PHP 8.5.12
Bei älteren PHP-Versionen muss gesondert geprüft werden, ob der Betriebssystemhersteller oder ein anderer Anbieter entsprechende Sicherheitskorrekturen bereitgestellt hat.
Insbesondere bei Linux-Systemen werden Sicherheitsupdates teilweise auch in ältere Versionsstände integriert. Eine ältere Versionsnummer bedeutet daher nicht zwangsläufig, dass das System ungepatcht ist.
Entscheidend ist, ob die jeweilige Sicherheitslücke durch ein Update oder einen entsprechenden Hersteller-Patch tatsächlich geschlossen wurde.
Was sollten Unternehmen jetzt konkret tun?
Wir empfehlen Unternehmen und Kommunen, die folgenden Maßnahmen kurzfristig umzusetzen.
Betroffene Systeme identifizieren
Prüfen Sie zunächst, welche Webseiten, Portale und Fachanwendungen PHP verwenden. Berücksichtigen Sie dabei auch Systeme, die von externen Dienstleistern betreut werden.
Sicherheitsupdates prüfen und installieren
Lassen Sie feststellen, ob die erforderlichen Updates bereits vorhanden sind. Betroffene Systeme sollten mit hoher Priorität aktualisiert werden.
Fachanwendungen nicht unkoordiniert aktualisieren
Bei geschäftskritischen Anwendungen sollten Updates immer mit dem jeweiligen Hersteller oder IT-Dienstleister abgestimmt werden. Vor einer Aktualisierung sind insbesondere die Kompatibilität, vorhandene Datensicherungen und mögliche Auswirkungen auf den Betrieb zu prüfen.
Erreichbarkeit bei Bedarf einschränken
Kann ein notwendiges Sicherheitsupdate nicht kurzfristig installiert werden, sollte geprüft werden, ob sich der Zugriff auf die betroffene Anwendung vorübergehend beschränken lässt.
Denkbare Maßnahmen sind beispielsweise der Zugriff ausschließlich über VPN, die Beschränkung auf bestimmte IP-Adressen oder die vorübergehende Deaktivierung der öffentlichen Erreichbarkeit.
Diese Maßnahmen können das Risiko reduzieren, ersetzen jedoch kein erforderliches Sicherheitsupdate.
Systeme auf Auffälligkeiten kontrollieren
Insbesondere bei öffentlich erreichbaren Anwendungen sollte zusätzlich geprüft werden, ob Hinweise auf verdächtige Aktivitäten vorliegen.
Hierzu zählen beispielsweise ungewöhnliche Zugriffe, auffällige Serverprotokolle, unerwartete Änderungen an Dateien oder verdächtige Prozesse.
Erfolgreiche Aktualisierung dokumentieren
Nach der Installation eines Sicherheitsupdates sollte kontrolliert werden, ob der erforderliche Patch tatsächlich aktiv ist und die betroffene Anwendung weiterhin ordnungsgemäß funktioniert.
Die durchgeführten Maßnahmen sollten nachvollziehbar dokumentiert werden.
Gibt es auch nach den Sicherheitsupdates noch Risiken?
Am 23. Oktober 2026 veröffentlichte das PHP-Projekt einen zusätzlichen Sicherheitshinweis zu einer weiteren Schwachstelle, die allerdings nur unter besonderen technischen Voraussetzungen ausgenutzt werden kann.
Auch deshalb ist es wichtig, die aktuellen Sicherheitshinweise des PHP-Projekts regelmäßig zu berücksichtigen und nicht ausschließlich auf die Versionsnummer der Installation zu vertrauen.
Die Bewertung und Umsetzung möglicher zusätzlicher Schutzmaßnahmen sollte durch die verantwortliche IT-Abteilung oder den betreuenden Dienstleister erfolgen.
Jetzt prüfen und Sicherheitsrisiken reduzieren
Die beiden kritischen PHP-Schwachstellen zeigen erneut, wie wichtig ein strukturiertes Schwachstellen- und Patchmanagement für Unternehmen und öffentliche Einrichtungen ist.
Dabei geht es nicht nur darum, einzelne Updates zu installieren. Entscheidend ist, einen Überblick über die eingesetzten Systeme zu besitzen, Verantwortlichkeiten klar zu regeln und Sicherheitslücken frühzeitig zu erkennen.
Unsere Empfehlung: Prüfen Sie kurzfristig gemeinsam mit Ihrer IT-Abteilung oder Ihrem IT-Dienstleister, ob Ihre Systeme betroffen sind und ob die notwendigen Sicherheitsupdates bereits umgesetzt wurden.
Sie benötigen Unterstützung bei der Bewertung Ihrer Informationssicherheit?
Die Complimate GmbH unterstützt Unternehmen, Kommunen und öffentliche Einrichtungen bei der strukturierten Bewertung von Informationssicherheitsrisiken sowie beim Aufbau und der Weiterentwicklung eines Informationssicherheitsmanagementsystems (ISMS).
Gerne unterstützen wir Sie dabei, bestehende Sicherheitsmaßnahmen zu bewerten, Handlungsbedarf zu identifizieren und notwendige Maßnahmen gemeinsam mit Ihren IT-Verantwortlichen zu koordinieren.