Kritische PHP-Sicherheitslücken: Betreiber sollten zeitnah handeln

Die Schwachstellen werden unter den Kennungen CVE-2026-109618 und CVE-2026-109619 geführt und erreichen jeweils einen CVSS-Schweregrad von 9,2 von 10 Punkten.

Nach Angaben des BSI könnten Angreifer die Sicherheitslücken aus der Ferne ausnutzen, um Schadcode auf betroffenen Webservern auszuführen. Besonders kritisch ist dabei, dass weder eine Anmeldung noch eine Benutzerinteraktion erforderlich sein sollen. Die Schwachstellen werden in Sicherheitskreisen bereits unter der Bezeichnung „PHP2Shell“ diskutiert.

Von den Sicherheitsproblemen betroffen sind potenziell zahlreiche Webanwendungen und Content-Management-Systeme, die auf PHP basieren, darunter beispielsweise WordPress, TYPO3, Drupal, Joomla oder individuell entwickelte Webanwendungen. Entscheidend ist dabei die auf dem Server installierte PHP-Version, nicht die Version des CMS selbst.

Inzwischen stehen Sicherheitsupdates der PHP-Entwickler zur Verfügung. Als abgesicherte Versionen nennt das BSI die Releases PHP 8.2.35, PHP 8.3.36, PHP 8.4.27 und PHP 8.5.12. Für ältere, nicht mehr unterstützte PHP-Versionen werden keine Sicherheitsupdates bereitgestellt.

Wir beobachten die Lage fortlaufend und stellen sicher, dass notwendige Sicherheitsmaßnahmen und Updates zeitnah umgesetzt werden. Betreiber eigener Server, individueller Hosting-Umgebungen und Kunden bei denen wir keinen Zugriff auf das Hosting haben, sollten jedoch unverzüglich prüfen, welche PHP-Version eingesetzt wird und verfügbare Updates schnellstmöglich installieren.

Quellen:

BSI – Bundesamt für Sicherheit in der Informationstechnik: Cybersicherheitswarnung zu PHP-Schwachstellen (21.10.2026)
RUS-CERT Universität Stuttgart: Kritische Schwachstellen in PHP (22.10.2026)
BSI - PHP: Kritische Schwachstellen bedrohen Webanwendungen weltweit