PHP-Schwachstellen: BSI fordert sofortiges Update für Webserver

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) warnt vor kritischen Schwachstellen in der Programmiersprache PHP, die nach seinen Angaben weltweit Webanwendungen bedrohen. Wie das BSI mitteilte, werden die Sicherheitsupdates der Entwickler am 21. Oktober um 16 Uhr deutscher Zeit erwartet. IT-Sicherheitsverantwortliche und Betreiber sollen sie unmittelbar nach der Veröffentlichung installieren.

Laut BSI ist jede bislang bekannte PHP-Version betroffen, und zwar bis hinunter zu PHP 5 oder noch älteren Ständen. Nach aktuellem Kenntnisstand lässt sich nicht ausschließen, dass Angreifer die Schwachstellen nutzen, um von außen Schadcode auf Webservern einzuschleusen, auf denen PHP-Anwendungen laufen. Das BSI beschreibt PHP als zentralen Baustein von Webanwendungen. Wer die Schwachstellen kenne, könne massive Angriffskampagnen starten und IT-Systeme aus den unterschiedlichsten Anwendungsbereichen kompromittieren.

BSI-Vizepräsident Thomas Caspers hält eine großflächige Ausnutzung für wahrscheinlich. „Wir halten eine kurzfristige, großflächige Ausnutzung innerhalb weniger Stunden nach Erscheinen der Sicherheitsupdates für wahrscheinlich“, sagte er. Angreifer könnten die Updates mit KI-gestützten Werkzeugen in kurzer Zeit analysieren und passende Exploits erzeugen.

Organisationen sollten deshalb Personal bereithalten, um zum Veröffentlichungszeitpunkt sofort reagieren zu können. Die Patches gibt es für unterschiedliche PHP-Versionen. Das BSI rät, sie auf PHP-Webserver einzuspielen und den Patchstatus anhand des Advisories zu verifizieren. Außerdem sollten Betreiber exponierte PHP-Webserver verstärkt auf Auffälligkeiten beobachten.

Auf einen Blick

• Veröffentlichung der Patches: 21. Oktober, 16 Uhr deutscher Zeit
• Das Problem betrifft sämtliche bislang bekannten PHP-Versionen bis hinab zu PHP 5.
• Aufgabe: Patches umgehend einspielen, Patchstatus anhand des Advisories prüfen, exponierte Server beobachten

Hintergrund

Laut der Cybersicherheitswarnung des BSI geht es um zwei Schwachstellen mit den Kennungen CVE-2026-109618 und CVE-2026-109619. Die Bewertung nach CVSS (Version 4.0) liegt bei 9.2 von 10. Daraus lässt sich nach Angaben des BSI ableiten, dass für eine Ausnutzung weder Authentifizierung noch Nutzerinteraktion nötig sind.

Bestätigte Ausnutzungen waren dem BSI zum Zeitpunkt der Warnung nicht bekannt, es gab aber unbestätigte Berichte über existierende Exploits. Inzwischen haben die Entwickler laut BSI Patches für verschiedene PHP-Versionen bereitgestellt. Weitere Details finden sich in den GitHub Advisories zu den CVEs.

Wer selbst keinen Server betreibt, aber auf Warnungen angewiesen ist, kann den Warn- und Informationsdienst von CERT-Bund nutzen. Dort können laut BSI auch Unternehmen kritischer Infrastrukturen und Bürgerinnen und Bürger Kurzinformationen abrufen. Per RSS-Feed können sie diese laut BSI ebenfalls abonnieren. In der Liste der CERT-Bund Meldungen steht die PHP-Lücke als „kritisch“.

Eigene Einschätzung

Gründer, die ihren Shop oder ihre Website bei einem Hoster betreiben lassen, sollten heute beim Anbieter nachfragen, ob und wann gepatcht wird. Die Warnung richtet sich an Fachleute, trifft aber auch kleine Teams ohne eigene IT. Offen bleibt, wie schnell Hoster und Agenturen reagieren. Den RSS-Feed von CERT-Bund einzurichten ist ein kleiner Aufwand mit echtem Nutzen.