Kritische PHP-Sicherheitslücken 2026: Was Unternehmen jetzt tun sollten

Zwei kritische Sicherheitslücken in PHP haben am 21. Oktober 2026 weltweit für Handlungsbedarf gesorgt. Angreifer können die Schwachstellen unter bestimmten Voraussetzungen ausnutzen, um ohne Anmeldung Schadcode auf betroffenen Webservern auszuführen. Einige Organisationen nahmen ihre Websites und Anwendungen deshalb vorsorglich vom Netz.

Der Vorfall zeigt, wie schnell Unternehmen auf neu bekannt gewordene IT-Sicherheitsrisiken reagieren müssen. Doch welche PHP-Versionen sind betroffen? Welche Maßnahmen sind erforderlich? Und wie können Unternehmen sicherstellen, dass die zuständigen IT-Verantwortlichen rechtzeitig informiert werden?

Was ist bei den PHP-Sicherheitslücken passiert?

Am 20. Oktober 2026 kündigte das PHP-Sicherheitsteam außerplanmäßige Sicherheitsupdates für zwei kritische Schwachstellen an. Die Updates wurden am 21. Oktober veröffentlicht.

Die Sicherheitslücken mit den Kennungen CVE-2026-109618 und CVE-2026-109619 wurden jeweils mit einem CVSS-v4.0-Wert von 9,2 bewertet. Beide können unter bestimmten Voraussetzungen eine sogenannte Remote Code Execution ermöglichen. Das bedeutet, dass Angreifer über das Netzwerk Schadcode auf einem betroffenen Server ausführen können.

Besonders kritisch ist, dass hierfür keine Anmeldung am betroffenen System erforderlich sein muss. Betroffen sind PHP-Installationen, die Webanfragen verarbeiten, darunter unterschiedliche Webserver- und PHP-Betriebsarten.

Das PHP-Projekt empfiehlt deshalb ausdrücklich, die bereitgestellten Sicherheitsupdates unverzüglich zu installieren.

Welche PHP-Versionen sind betroffen?

Für die unterstützten PHP-Versionszweige wurden am 21. Oktober folgende Sicherheitsupdates veröffentlicht:

Auch ältere PHP-Versionen können betroffen sein. Da beispielsweise PHP 8.1 nicht mehr regulär vom PHP-Projekt unterstützt wird, müssen Betreiber gegebenenfalls auf eine unterstützte Version wechseln oder geeignete Sicherheitsupdates ihres jeweiligen Anbieters prüfen.

Wichtig: Bei Linux-Distributionen können Sicherheitskorrekturen auch in ältere Paketversionen zurückportiert werden. Die angezeigte Versionsnummer allein ist deshalb nicht immer ausreichend, um den Patchstatus zu beurteilen.

Unternehmen sollten mit ihrer IT-Abteilung oder ihrem Hosting-Anbieter klären, welche PHP-Versionen tatsächlich eingesetzt werden und ob die notwendigen Sicherheitskorrekturen installiert wurden.

Warum wurden Websites vorsorglich abgeschaltet?

Die Veröffentlichung einer kritischen Sicherheitslücke bedeutet nicht automatisch, dass ein System bereits angegriffen wurde. Dennoch können Betreiber gezwungen sein, kurzfristig Schutzmaßnahmen zu treffen.

Genau das war bei den aktuellen PHP-Sicherheitslücken der Fall: Zwischen der Bekanntgabe des Risikos und der Bereitstellung der Updates mussten Unternehmen entscheiden, ob sie betroffene Anwendungen weiter betreiben können.

Der Schweizer Hosting-Anbieter cyon nahm beispielsweise am 21. Oktober verschiedene Hosting-Dienste vorsorglich vom Netz. Erst nach der Bereitstellung, Installation und Prüfung der Sicherheitsupdates wurden die Dienste schrittweise wieder freigegeben.

Das Beispiel verdeutlicht eine wichtige Herausforderung: Die technische Behebung ist nur ein Teil der Reaktion. Gleichzeitig müssen Verantwortlichkeiten geklärt, mögliche Betriebsausfälle bewertet und betroffene Personen informiert werden.

Wie sollten Unternehmen auf die PHP-Sicherheitslücken reagieren?

1. Betroffene PHP-Systeme identifizieren

Zunächst muss festgestellt werden, welche Websites, Anwendungen und Server PHP einsetzen. Neben öffentlich erreichbaren Websites können auch Kundenportale, Verwaltungsoberflächen und andere Webanwendungen betroffen sein.

Die IT-Abteilung sollte prüfen, welche Versionen und Serverkonfigurationen verwendet werden und welche Systeme von außen erreichbar sind. Besonders exponierte Systeme sollten bei der weiteren Bearbeitung priorisiert werden.

2. Sicherheitsupdates und Schutzmaßnahmen umsetzen

Die verfügbaren PHP-Sicherheitsupdates sollten entsprechend den Empfehlungen des PHP-Projekts und der jeweiligen Anbieter so schnell wie möglich installiert werden.

Ist eine unmittelbare Aktualisierung nicht möglich, können vorübergehende Schutzmaßnahmen notwendig sein, beispielsweise die Einschränkung des externen Zugriffs oder die Abschaltung einzelner Dienste.

Solche Maßnahmen ersetzen allerdings nicht die notwendigen Sicherheitsupdates. Besteht der Verdacht, dass eine Schwachstelle bereits ausgenutzt wurde, muss außerdem geprüft werden, ob das betroffene System kompromittiert wurde.

3. Zuständige IT-Verantwortliche alarmieren

Nicht jede Sicherheitswarnung erfordert einen Alarm. Wenn jedoch geschäftskritische Systeme betroffen sind, kurzfristige Abschaltungen notwendig werden oder außerhalb der regulären Arbeitszeiten reagiert werden muss, ist die schnelle Erreichbarkeit der Verantwortlichen entscheidend.

Je nach Situation sollten folgende Funktionen eingebunden werden:

Dabei muss nicht jede Person bei jedem Sicherheitsvorfall alarmiert werden. Entscheidend ist, dass Unternehmen im Voraus festlegen, welche Personen bei welchem Schweregrad und welcher betrieblichen Auswirkung einzubinden sind.

4. Rückmeldungen und Maßnahmen koordinieren

Ist eine dringende Alarmierung notwendig, reicht das bloße Versenden einer Nachricht nicht aus. Verantwortliche müssen auch erkennen können, ob die erforderlichen Personen erreichbar sind und wer die Bearbeitung übernimmt.

Ein vorbereiteter Alarmierungsablauf kann dabei helfen, Zuständigkeiten und Vertretungen ohne langwierige telefonische Abstimmungen einzubeziehen.

Wichtig ist die Unterscheidung zwischen der Bestätigung eines Alarms und dem Abschluss einer technischen Maßnahme. Eine Alarmbestätigung zeigt zunächst, dass eine Person reagiert hat. Ob das Sicherheitsupdate erfolgreich installiert wurde, muss separat überprüft und dokumentiert werden.

Praxisbeispiel: Alarmierung bei einer kritischen PHP-Sicherheitslücke

Ein Unternehmen betreibt mehrere öffentlich erreichbare Webanwendungen auf PHP-Basis. Die IT-Sicherheitsabteilung erhält eine dringende Warnung zu einer kritischen Schwachstelle. Bei der ersten Überprüfung zeigt sich, dass ein geschäftskritisches System betroffen sein könnte.

Da kurzfristig weitere IT-Verantwortliche eingebunden werden müssen, wird ein vorbereitetes Alarmierungsszenario gestartet.

Beispiel für eine interne Alarmnachricht:

Kritische PHP-Sicherheitslücke - dringende Systemprüfung erforderlich

Für die eingesetzten PHP-Systeme wurde eine kritische Sicherheitswarnung veröffentlicht. Bitte prüfen Sie umgehend die betroffenen Systeme und stimmen Sie notwendige Schutzmaßnahmen mit der IT-Sicherheitsabteilung ab.

Rückmeldung: „Bearbeitung übernommen“ oder „Nicht verfügbar“.

Eine solche Alarmierung schafft einen einheitlichen Informationsstand. Gleichzeitig wird sichtbar, welche Personen die Meldung bestätigt haben und ob weitere Verantwortliche eingebunden werden müssen.

Der genaue Ablauf hängt von der IT-Notfallorganisation des jeweiligen Unternehmens ab. Die Alarmierung ersetzt weder die technische Prüfung noch die Entscheidung über Sicherheitsmaßnahmen.

Was passiert, wenn interne Kommunikationssysteme ausfallen?

Gerade bei schwerwiegenden IT-Vorfällen kann es vorkommen, dass betroffene Systeme vorübergehend abgeschaltet werden oder interne Kommunikationsdienste nicht mehr zur Verfügung stehen.

Unternehmen sollten deshalb nicht ausschließlich auf interne E-Mail-Verteiler oder Telefonlisten angewiesen sein. Vorbereitete Alarmierungswege über externe Kommunikationskanäle können helfen, zuständige Personen weiterhin zu erreichen.

Wie solche Abläufe vorbereitet werden können, erklären wir auch im Beitrag Alarmierungsplan digitalisieren: Vom Dokument zum funktionierenden Notfallprozess.

Welche Rolle spielt safeREACH bei kritischen IT-Sicherheitsvorfällen?

Mit dem Alarmierungssystem von safeREACH können Unternehmen vorbereitete Alarmierungsszenarien für kritische IT-Vorfälle einrichten.

Bei Bedarf werden IT-Bereitschaften, Administratoren und weitere Verantwortliche gezielt alarmiert. Rückmeldungen können zentral nachvollzogen werden, sodass erkennbar ist, welche Personen reagiert haben. Die Alarmierung kann manuell oder bei entsprechend eingerichteter Anbindung automatisiert über IT-Monitoring-Systeme ausgelöst werden.

Das Alarmierungssystem ist cloudbasiert und ermöglicht die Alarmierung über verfügbare externe Kommunikationswege, selbst wenn interne IT-Dienste ausfallen.

Die Erkennung und Behebung einer Sicherheitslücke erfolgt weiterhin durch die zuständigen IT-Fachkräfte. safeREACH unterstützt die schnelle Alarmierung und Kommunikation zwischen den beteiligten Personen.

Weitere Informationen finden Sie auf unserer Seite zur IT-Alarmierung bei Ausfällen und Störungen.