Zwei kritische Sicherheitslücken im Kern von PHP setzen unzählige Webserver unter akuten Handlungsdruck. Auf verwundbaren Systemen können Angreifer unter bestimmten Bedingungen eigenen Schadcode ausführen – ohne sich zuvor anmelden zu müssen. Betroffen ist damit eine Technik, auf der ein erheblicher Teil des Internets beruht.
Die Schwachstellen werden als CVE-2026-109618 und CVE-2026-109619 geführt und jeweils mit dem kritischen Wert 9,2 von 10 bewertet. Das PHP-Projekt veröffentlichte am 21. Oktober die abgesicherten Versionen 8.2.35, 8.3.36, 8.4.27 und 8.5.12. Nach Angaben der Entwickler sind alle PHP-Installationen gefährdet, die Webanfragen verarbeiten können; besonders hoch wird das Risiko beim Apache-Modul mod_php eingeschätzt.
Für Webseitenbetreiber ist entscheidend: Ein Update von WordPress, Themes oder Plugins schließt diese Lücken nicht. Gepatcht werden muss die PHP-Laufzeit auf dem Server. Wer ein verwaltetes Hosting-Paket nutzt, sollte die installierte PHP-Version im Kundenbereich kontrollieren oder beim Anbieter nachfragen. Bei selbst verwalteten Servern liegt die Verantwortung unmittelbar beim Betreiber.
PHP 8.1 und ältere Ausgaben erhalten vom PHP-Projekt regulär keine Aktualisierungen mehr. Für einzelne ältere Versionszweige stehen zwar minimale Quellcode-Rückportierungen bereit, außerdem können Linux-Distributoren und Langzeitsupport-Anbieter eigene Pakete liefern. Eine pauschale Entwarnung gibt es deshalb nicht: Entscheidend ist, ob der tatsächlich eingesetzte Server ein wirksames Sicherheitsupdate erhalten hat.
Auch Europas Cybersicherheitsbehörde ENISA warnt vor den beiden Lücken. Organisationen sollen ihre PHP-Anwendungen identifizieren, öffentlich erreichbare Systeme vorrangig aktualisieren und ungepatchte Anwendungen notfalls vom Netz trennen. Das ist drastisch, aber folgerichtig: Die offiziellen PHP-Hinweise stellen klar, dass nur das Update eine vollständige Lösung bietet.
Der Vorfall legt erneut die Kehrseite der digitalen Abhängigkeit offen. Wenn Behörden, Unternehmen und Medien auf denselben technischen Fundamenten stehen, kann eine einzelne Schwachstelle gleichzeitig zahllose Dienste treffen. Opposition24 hat bereits beim Cyberangriff auf das rumänische Grundbuchsystem auf das Risiko zentralisierter digitaler Infrastrukturen hingewiesen. Updates, klare Zuständigkeiten und funktionierende Ausweichwege sind keine Kür, sondern Grundvoraussetzung.
Eine ausführliche Einordnung zu den Folgen für WordPress-Nutzer und zu den Reaktionen deutscher Hosting-Anbieter bietet der Ausgangsbericht bei F-NEWS. Technische Details und die abgesicherten Versionsnummern finden sich in der offiziellen PHP-Sicherheitswarnung; die europäische Handlungsempfehlung hat ENISA veröffentlicht.
