PHP-Sicherheitslücke: Wie sie gefunden wurde und was jetzt zu tun ist

Was ist die Schwachstelle?

Ende Oktober 2026 hat das Bundesamt für Sicherheit in der Informationstechnik (BSI) vor einer gravierenden Sicherheitslücke in der Programmiersprache PHP gewarnt. Es handelt sich um gleich zwei kritische Schwachstellen im Kern der Sprache, die Millionen Webseiten weltweit betroffen machen – von einfachen Blogs über Nachrichtenportale bis hin zu Onlineshops und Content-Management-Systemen wie WordPress. Allein mit WordPress werden weltweit zwischen 400 und 500 Millionen Webseiten betrieben.

Wie wurde die Schwachstelle gefunden?

Die Schwachstellen wurden zunächst vertraulich an die PHP-Entwickler gemeldet, während an einer Lösung gearbeitet wurde. Das PHP-Sicherheitsteam, das IT-Sicherheitsunternehmen Huntress sowie das BSI waren an der Aufdeckung und Bewertung beteiligt. Das BSI hat die Warnstufe „3 / Orange“ – außerordentlich hoch – gesetzt.

Problem: Die Details wurden einen Tag vor der geplanten Veröffentlichung der Sicherheitsupdates online geleakt. Dadurch stand die gesamte globale IT-Branche unter erheblichem Zeitdruck, und viele Webseiten wurden vorsorglich abgeschaltet, bevor Angreifer die Schwachstellen ausnutzen konnten.

Was sind die Auswirkungen?

Kriminelle Akteure können die Schwachstellen ausnutzen, um aus der Ferne Schadcode auf den betroffenen Servern auszuführen. In der Praxis bedeutet dies:

• Übernahme der Kontrolle über eine Website
• Abgreifen sensibler Kundendaten
• Missbrauch der Infrastruktur für weitere Cyberattacken

Das Risiko wird als extrem hoch eingestuft. BSI-Vizepräsident Thomas Caspers hält eine kurzfristige, großflächige Ausnutzung innerhalb weniger Stunden nach Erscheinen der Sicherheitsupdates für wahrscheinlich.

Was ist zu tun?

Sofortmaßnahmen

Die PHP-Entwickler haben am Mittwochnachmittag aktualisierte Versionen mit den Sicherheitspatches veröffentlicht. Die PHP Foundation betont: „Wenn Sie PHP einsetzen, ist es zwingend erforderlich, dass Sie jetzt ein Update vornehmen.“

Der Expertendienst Heise Security warnt: Wer das Risiko einer Kompromittierung nicht eingehen möchte, hat nur eine Option – die mit PHP betriebenen Web-Server vom Netz trennen, solange das Update nicht installiert wurde.

Empfohlene Schritte

1. PHP-Version prüfen: Überprüfen Sie, welche PHP-Version auf Ihren Servern läuft.
2. Update durchführen: Installieren Sie sofort die neueste PHP-Version mit den Sicherheitspatches.
3. Patch-Status verifizieren: Prüfen Sie anhand des offiziellen Advisories, ob das Update erfolgreich war.
4. Exponierte Server beobachten: Verstärkte Überwachung auf Auffälligkeiten.
5. Ressourcen bereithalten: Stellen Sie sicher, dass personelle Kapazitäten für die Umsetzung der Updates vorhanden sind.

Betroffene Systeme

Aktuellen Informationen zufolge sind alle bekannten PHP-Versionen, zurückgehend bis mindestens PHP 5, verwundbar. Das bedeutet: Selbst Systeme, die bereits als veraltet galten, können betroffen sein. Ein Großteil des Internets basiert auf PHP – von einfachen Blogs über große Nachrichtenportale bis hin zu komplexen Onlineshops und Content-Management-Systemen wie WordPress.

Quellen

• tagesschau.de – Programmiersprache PHP: Sicherheitslücke bedroht weltweit Webseiten, 21.10.2026
• BSI – PHP: Kritische Schwachstellen bedrohen Webanwendungen weltweit, 21.10.2026

Beitrag zur Reihe IT-Sicherheit.