Sicherheits-Update für PHP allein reicht nicht
23. Oktober 2026
Kritische Schwachstellen innerhalb der Programmiersprache PHP bedrohen aktuell weltweit nicht nur Webanwendungen. Entsprechende Sicherheits-Updates sind verfügbar und sollten schnellstmöglich installiert werden. Doch das allein reicht nicht aus: Systembetreuer müssen auf ihren Systemen in Logfiles prüfen, ob nicht bereits ein Angriff durchgekommen ist. Und zudem gilt es den Bereich OT – Operational Technology – zu beachten.
Die aktuelle Sicherheitslücke betrifft alle bekannten PHP-Versionen, zurückgehend bis mindestens PHP 5. Dabei ist nicht auszuschließen, dass Angreifer aus der Ferne schadhaften Code auf Webservern mit PHP-Anwendungen ausführen können. PHP gilt als ein zentraler Baustein in Webanwendungen und wird weltweit eingesetzt. Mit Kenntnis derartiger Schwachstellen könnte es Angreifern gelingen, massive Angriffskampagnen durchzuführen und IT-Systeme aus den unterschiedlichsten Anwendungsbereichen zu kompromittieren. Daher besteht unverzüglicher Handlungsbedarf.
Der Vizepräsident des BSI, Thomas Caspers, betont: „Wir halten eine kurzfristige, großflächige Ausnutzung innerhalb weniger Stunden nach Erscheinen der Sicherheits-Updates für wahrscheinlich: Angreifer können diese mittels KI-gestützter Werkzeuge innerhalb kurzer Zeit analysieren und entsprechende Exploits generieren. Es besteht also unverzüglicher Handlungsbedarf!
Sicherheitsverantwortliche und Betreiber sind dazu aufgerufen, zu diesem Zeitpunkt umgehend die Patches auf PHP-Webserver einzuspielen sowie den Patch-Status anhand des Advisories zu verifizieren. Betreiber sollten exponierte PHP-Webserver zudem verstärkt auf Auffälligkeiten beobachten.
Unternehmen nutzen oft Software, von der sie nichts wissen, auch durch indirekte Abhängigkeiten. „Diese PHP-Sicherheitslücke macht deutlich, wie wichtig es für Unternehmen ist, Schwachstellen schnell zu erkennen, zu wissen, wo sie liegen, und zu verstehen, wie man darauf reagiert. Das haben wir auch schon vor ein paar Jahren bei den Log4Shell- und React2Shell-Schwachstellen gesehen, die erhebliche Auswirkungen hatten“, erklärt Maxime Thiebaut, Digital Forensics & Incident Response Expert beim europäischer Cyber-Sicherheitsspezialisten NVISO.
„Damit wird erneut deutlich, dass viele Unternehmen immer noch keinen vollständigen Überblick darüber haben, was in ihren Umgebungen läuft. Doch diese Transparenz ist entscheidend, besonders jetzt, wo auch Künstliche Intelligenz ins Spiel kommt.“
Nach seiner Einschätzung wird die Zeitspanne zwischen der Entdeckung einer Schwachstelle und ihrer Ausnutzung durch Angreifer immer kürzer. Unternehmen müssen deswegen dringend ihre Denkweise ändern. Heutzutage kann man es sich nicht leisten, nicht zu wissen, was in der eigenen Umgebung läuft oder wo die größten technologischen Abhängigkeiten liegen – so der Experte weiter.
Deshalb sollte jedes Unternehmen die folgenden drei Dinge umgesetzt haben:
- Erstens ein Vulnerability Management Programme: Welche Software läuft, wo läuft sie und welche Version wird verwendet?
- Zweitens ein External Attack Software Management: Wie sieht die Organisation von außen aus? Welche Legacy-Systeme werden vielleicht übersehen?
- Drittens eine Software Bill of Materials: Haben wir eine Bestandsaufnahme aller Software und all ihrer internen Komponenten?
Unternehmen nutzen oft Software, von der sie nichts wissen, auch durch indirekte Abhängigkeiten. Der heutige Tag erinnert daran, dass es hier keine Kompromisse geben kann: Sie müssen hier jederzeit den Überblick behalten.“
Details zu den PHP-Schwachstellen
Die erste der beiden Schwachstellen mit dem gemeinsamen Namen php2shell ist CVE-2026-109618 (CVSS 9.2, kritisch). Sie ist in der Speicherverwaltung von PHP zu finden. Wenn einige Vorbedingungen erfüllt sind und das in der PHP-Konfigurationsdatei eingestellte Speicherlimit (Direktive: memory_limit) anschlägt, erzeugt die Sprache einen Ausführungsfehler – und sollte eigentlich alle Überbleibsel des fehlerhaft ausgeführten Skripts im Speicher wegräumen.
Ist das Skript jedoch über ein vom Angreifer passend zurechtgebasteltes Upload-Formular oder eines mit besonders geschickt verschachtelten Arrays gestolpert, kommt PHP beim Aufräumen dieser Überreste aus dem Tritt. Das Resultat: Angreifer können Speicher auslesen, freigeben und eigenen Schadcode im Nutzerkontext des Webservers ausführen – so die Analyse auf heise online.
Ein zweiter Fehler fand sich in der Verarbeitung von Skriptfehlern, den sogenanntem Error-Handling. Um die als CVE-2026-109619 (CVSS 9.2, kritisch) bezeichnete Lücke erfolgreich auszunutzen, benötigt ein Angreifer neben ähnlichen Vorbedingungen wie bei CVE-2026-109618 mindestens zwei HTTP-Anfragen. Die erste erzeugt einen instabilen Zustand in PHPs Fehlerverwaltung, die zweite nutzt diesen aus.
PHP-Einsatz in der Operational Technology
Die PHP-Sicherheitslücken haben mittlerweile dazu geführt, dass Unternehmen wie Kommunen ihre Server vom Netz genommen haben, um nicht Ziel eines Cyber-Angriffs zu werden. Danach wurden in vielen Fällen die Updates eingespielt und die Webserver wieder gestartet, nachdem durch das Prüfe der einschlägigen Logfiles sichergestellt wurde, dass noch ein Schadcode auf die Systeme eingespielt wurde. Doch ein Aspekt, kam in der Diskussion bislang nicht so recht ans Tageslicht: Auch OT-Systeme (Operational Technology) setzen PHP ein.
Was Industrieunternehmen jetzt tun sollten und warum es in diesen Bereich neist keine schnellen Lösungen gibt, erklärt Létitia Combes, Geschäftsführerin und Co-Gründerin von BxC Security: „Die beiden kritischen PHP-Sicherheitslücken stellen nicht nur für klassische IT-Systeme, sondern auch für industrielle Produktionsumgebungen ein erhebliches Risiko dar. Denn PHP kommt auch in der Operational Technology (OT) zum Einsatz, etwa in Managementoberflächen von Firewalls, industriellen Steuerungen, Fernwartungsportalen oder Monitoring-Systemen.“
Das BSI empfiehlt, betroffene Systeme schnellstmöglich zu aktualisieren oder gegebenenfalls vorübergehend vom Netz zu nehmen. „In der OT ist dies jedoch nicht immer ohne weiteres möglich“, so Combes. „Die Abschaltung einzelner Komponenten kann den Produktionsbetrieb beeinträchtigen. Zudem sind Unternehmen bei vielen industriellen Geräten auf Firmware-Updates der Hersteller angewiesen, die möglicherweise erst nach mehreren Wochen verfügbar sein werden.“
Industrieunternehmen sollten daher –so die Expertin – zunächst prüfen, welche Systeme betroffen sind, und insbesondere Komponenten an der Schnittstelle zwischen IT und OT absichern. Wo Sicherheits-Updates nicht unmittelbar verfügbar sind, müssen zusätzliche Schutzmaßnahmen greifen. Dazu gehören eingeschränkte Zugriffsrechte, eine konsequente Netzwerksegmentierung sowie die kontinuierliche Überwachung auf verdächtige Aktivitäten. (rhh)
