Die PHP-Community steht vor einer der kritischsten Sicherheitslagen der letzten Jahre.
Mit den Sicherheitslücken CVE-2026-109618 und CVE-2026-109619 wurden zwei schwerwiegende Schwachstellen öffentlich bekannt, noch bevor offizielle Patches veröffentlicht wurden. Das PHP-Sicherheitsteam stuft beide Lücken mit einem CVSS-Wert von 9,2 von 10 Punkten ein. Experten warnen bereits vor einer massiven Ausnutzungswelle unmittelbar nach Veröffentlichung der Updates.
Was ist passiert?
Am 20. Oktober 2026 wurden Informationen zu zwei bislang vertraulich behandelten PHP-Sicherheitslücken öffentlich bekannt. Die eigentlichen Sicherheitsupdates sollten erst gemeinsam mit den technischen Details veröffentlicht werden. Durch das vorzeitige Leak kennen potenzielle Angreifer jedoch bereits wichtige Informationen, während viele Systeme noch ungepatcht sind.
Besonders kritisch:
Nach aktuellen Berichten handelt es sich um mögliche Remote-Code-Execution-(RCE)-Schwachstellen. Das bedeutet, dass Angreifer im schlimmsten Fall eigenen Code auf dem betroffenen Server ausführen können.
Welche Systeme könnten betroffen sein?
Nach bisherigen Erkenntnissen betreffen die Sicherheitslücken die PHP-Verarbeitung von Datei-Uploads und die Multipart-Request-Verarbeitung. Experten gehen davon aus, dass möglicherweise alle PHP-Versionen ab PHP 5 betroffen sein könnten. Eine endgültige Bestätigung sollte mit den offiziellen Sicherheitsmeldungen erfolgen.
Betroffene Anwendungen könnten unter anderem sein:
- WordPress-Websites
- WooCommerce-Shops
- Shopware-Systeme
- Laravel-Anwendungen
- Magento-Shops
- Individuelle PHP-Anwendungen
- Hosting- und Kundenportale
Das Problem liegt dabei nicht in der jeweiligen Anwendung selbst, sondern in der PHP-Laufzeitumgebung. Selbst wenn eine Website keine sichtbare Upload-Funktion anbietet, kann sie potenziell betroffen sein.
Warum die Gefahr besonders groß ist
Normalerweise erhalten Administratoren und Hoster gleichzeitig mit einer Sicherheitsmeldung auch die notwendigen Updates. In diesem Fall entstand jedoch ein Zeitfenster, in dem die Schwachstelle bereits bekannt ist, die Schutzmaßnahmen aber noch nicht flächendeckend ausgerollt wurden.
Sicherheitsforscher rechnen deshalb mit:
- automatisierten Scans des Internets
- gezielten Angriffen auf Webserver
- Versuchen zur Übernahme von Webseiten
- Installation von Schadsoftware
- Datendiebstahl
- Aufbau von Botnetzen
Sofortmaßnahmen für Administratoren
Wer eigene Server, VPS, Root-Server oder Hosting-Plattformen betreibt, sollte unverzüglich reagieren.
1. PHP-Inventur durchführen
Zunächst sollten alle Systeme identifiziert werden, auf denen PHP läuft:
- Produktivsysteme
- Test- und Staging-Systeme
- Subdomains
- Alte Webseiten
- Interne Tools
- Container-Umgebungen
Gerade vergessene Alt-Systeme stellen häufig das größte Risiko dar.
2. Updates vorbereiten
Sobald die offiziellen PHP-Versionen veröffentlicht werden, sollten Updates umgehend eingespielt werden.
Besonderes Augenmerk gilt dabei:
- Debian-/Ubuntu-Paketen
- Docker-Images
- Managed-Hosting-Plattformen
- Plesk- und cPanel-Installationen
- Cloud-Deployments
Nach dem Update müssen außerdem laufende PHP-Dienste wie PHP-FPM, Worker-Prozesse und Queue-Systeme neu gestartet werden.
3. Zusätzliche Schutzmaßnahmen aktivieren
Bis alle Systeme aktualisiert wurden, empfehlen Sicherheitsexperten temporäre Schutzmaßnahmen:
- Deaktivierung von Upload-Progress-Funktionen
- Einschränkung von Multipart-Requests
- Abschaltung nicht benötigter PHP-Anwendungen
- Überwachung verdächtiger Requests
- Aktivierung zusätzlicher WAF-Regeln
Wichtig: Diese Maßnahmen ersetzen kein Sicherheitsupdate, sondern dienen nur als kurzfristige Risikoreduzierung.
Was Website-Betreiber jetzt tun sollten
Auch wenn Sie keinen eigenen Server verwalten, sollten Sie aktiv werden:
Bei Managed Hosting
Fragen Sie Ihren Hosting-Anbieter:
- Ist mein Server betroffen?
- Wann werden die Sicherheitsupdates eingespielt?
- Wurden zusätzliche Schutzmaßnahmen aktiviert
Bei WordPress- oder Shopware-Projekten
Kontaktieren Sie:
- Ihren Administrator
- die betreuende Agentur
- den Managed-Hosting-Anbieter
Wichtig ist zu verstehen, dass ein Plugin-Update allein dieses Problem nicht löst, da die Schwachstelle auf PHP-Ebene liegt.
Nach dem Patch: Systeme prüfen
Nach erfolgreicher Aktualisierung sollte überprüft werden, ob bereits ein Angriff stattgefunden hat.
Typische Indikatoren sind:
- unbekannte Dateien im Webverzeichnis
- neue Administrator-Konten
- ungewöhnliche PHP-Prozesse
- verdächtige Cronjobs
- ungewöhnlicher Netzwerkverkehr
- Änderungen an Konfigurationsdateien
Sicherheitsforscher empfehlen, Logdateien aufzubewahren und die Aktivitäten seit Bekanntwerden der Schwachstellen genau zu analysieren.
Fazit
Die Schwachstellen CVE-2026-109618 und CVE-2026-109619 gehören zu den derzeit kritischsten Bedrohungen für PHP-basierte Systeme. Da Informationen bereits vor der offiziellen Patch-Veröffentlichung öffentlich wurden, besteht ein erhöhtes Risiko für automatisierte Angriffe auf ungepatchte Server.
Für Unternehmen, Onlineshops und Website-Betreiber gilt jetzt: Inventarisieren, absichern, aktualisieren und überwachen. Wer zeitnah reagiert, kann das Risiko erheblich reduzieren und potenzielle Ausfälle oder Kompromittierungen vermeiden.
