Rückblick auf den 21. bis 23. Oktober 2026. Dieser Beitrag dokumentiert den damaligen PHP-Lagebericht von SITsolutions. Er wird nicht mehr als laufende Warnmeldung gepflegt und ist keine Aussage zur heutigen Bedrohungslage. Die Verlagerung in diesen Rückblick bedeutet keine Entwarnung für ungepatchte Systeme.
Zwei kritische Schwachstellen und verfügbare Updates
Am 21. Oktober 2026 veröffentlichte das PHP-Projekt Sicherheitsupdates für CVE-2026-109618 und CVE-2026-109619. Die damals genannten korrigierten Versionen waren PHP 8.2.35, 8.3.36, 8.4.27 und 8.5.12. Die Schwachstellen konnten unter geeigneten Bedingungen eine Codeausführung ohne Anmeldung ermöglichen. Betroffen waren PHP-Installationen zur Verarbeitung von Webanfragen, darunter PHP-FPM und Apache mod_php. Das PHP-Team bewertete das Risiko für mod_php am höchsten.
Die technischen Advisories beschrieben Speicherfehler bei der Behandlung von Speichermangel sowie anfrageübergreifend verbliebenen internen Zustand. Sie dokumentierten erfolgreiche Codeausführung in Tests gegen mod_php und für bestimmte Anwendungsbedingungen auch gegen PHP-FPM. Bei mod_php konnte der Angriff bereits vor dem Anwendungscode greifen; eine Anmeldung in der Anwendung bot gegen diesen Weg keinen verlässlichen Schutz.
Wie die damalige Lage eingeordnet wurde
Das BSI bewertete die Lage in seinem Hinweis vom 21. Oktober 2026, Version 1.1, mit Kritikalität Orange, Stufe 3 von 4. Es forderte unverzügliche Maßnahmen und rechnete mit kurzfristiger Ausnutzung. Meldungen über erste Angriffsversuche hatte es zum Stand dieses Hinweises nicht verifizieren können. CERT-EU wies auf öffentlich diskutierte technische Details und kursierende Machbarkeitsnachweise hin.
Testnachweise, eine erhöhte Angriffswahrscheinlichkeit und eine bestätigte Angriffskampagne waren voneinander zu unterscheiden. Der damalige Bericht belegte keine Übernahme bestimmter Portale. Auch vorsorgliche Abschaltungen konnten die Nichterreichbarkeit eines Dienstes erklären.
Welche Maßnahmen empfohlen wurden
Die zentrale Empfehlung lautete, die PHP-Laufzeit unverzüglich zu aktualisieren und die PHP-Prozesse neu zu starten. Ein CMS-Update allein genügte nicht. Für Container waren gegebenenfalls neue Images und eine erneute Bereitstellung erforderlich, für Appliances die Hinweise des Herstellers. Bei älteren PHP-Zweigen mussten Betreiber einen unterstützten Versionswechsel oder einen bestätigten Hersteller-Patch prüfen.
Konfigurationsänderungen und Web Application Firewalls wurden nur als begrenzte Hilfen eingeordnet. Sie ersetzten die vollständigen Sicherheitsupdates nicht. Wenn kurzfristiges Patchen unmöglich war, empfahl das BSI, eine vorübergehende Trennung betroffener Dienste vom Internet zu erwägen.
Für die Vorfallprüfung galt: Fehlende verdächtige Protokolleinträge bewiesen keine Sicherheit. Konfiguration, Anwendungsverhalten und Systemintegrität mussten ebenfalls berücksichtigt werden. Ein Patch allein hätte bereits eingerichtete Angreiferzugänge nicht beseitigt.
Warum auch Besucher vertrauter Portale angesprochen wurden
Eine mögliche Serverübernahme hätte Angreifern erlaubt, Anmeldemasken zu verändern, eingegebene Daten abzugreifen oder schädliche Downloads anzubieten – auch unter einer vertrauten Adresse. Diese Folgen waren eine Risikoeinordnung, kein Nachweis konkreter Vorfälle. Der bloße Besuch einer PHP-Seite bedeutete keine automatische Infektion. HTTPS schützte die Verbindung, garantierte jedoch keine vertrauenswürdigen Inhalte eines übernommenen Servers.
SITsolutions empfahl deshalb, unerwartete Anmeldeaufforderungen, geänderte Zahlungsdaten und Installationsanweisungen unabhängig zu prüfen, Browserwarnungen ernst zu nehmen und verdächtige Vorgänge der zuständigen IT zu melden. Diese Aufmerksamkeit bleibt eine allgemeine Schutzregel.
Quellen und zeitliche Einordnung
- PHP-Projekt: Sicherheitsmeldung vom 21. Oktober 2026
- PHP Security Advisory zu CVE-2026-109618
- PHP Security Advisory zu CVE-2026-109619
- CERT-EU: Security Advisory 2026-018, Version 1.1
- CERT.at: Kritische Sicherheitslücken in PHP
- BSI-IT-Sicherheitshinweis BITS-H 2026-297981-1132, Version 1.1 vom 21. Oktober 2026, TLP:CLEAR; eigenständige Zusammenfassung durch SITsolutions.
Als Rückblick veröffentlicht am 23. Oktober 2026. Grundlage ist der damalige Lagebericht mit seiner Quellenprüfung vom 23. Oktober 2026, 07:56 MESZ. Spätere Änderungen der verlinkten Quellen sind damit nicht automatisch Bestandteil dieses Rückblicks. Für heutige Entscheidungen sind die aktuellen Herstellerhinweise maßgeblich.