Das Wichtigste in Kürze
- Was ist passiert? Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat am 21. Oktober 2026 vor zwei kritischen Schwachstellen in der Programmiersprache PHP gewarnt (CVE-2026-109618 und CVE-2026-109619).
- Wie gefährlich ist das? Beide Lücken sind mit 9,2 von 10 Punkten nach CVSS 4.0 bewertet. Angreifende könnten möglicherweise aus der Ferne eigenen Schadcode auf Webservern ausführen. PHP ist eine der meistgenutzten Programmiersprachen weltweit, weshalb derzeit so viele Systeme betroffen sind.
- Wer ist betroffen? Nach aktuellem Kenntnisstand alle bekannten PHP-Versionen, mindestens zurück bis PHP 5. Das betrifft jede Website oder Webanwendung, die auf PHP läuft, zum Beispiel WordPress-Seiten, Onlineshops oder Kundenportale.
- Was ist zu tun? Sicherheitsupdates einspielen, den Patchstand prüfen und auffällige Aktivitäten auf Webservern beobachten. Sollte dies nicht möglich sein, gibt es eine Liste empfohlener Migrationsmaßnahmen, welche das Patchen jedoch nicht ersetzen können. Im Zweifel sollte in Erwägung gezogen werden, betroffene Dienste vom Internet zu isolieren.
- Stand der Dinge: Die PHP-Entwickler:innen haben am 21. Oktober 2026 um 16 Uhr Patches für unterstützte Versionen veröffentlicht. Zu diesem Zeitpunkt waren laut BSI keine Angriffe bekannt.
Was ist PHP und warum betrifft es auch Ihr Unternehmen?
PHP ist eine weit verbreitete Programmiersprache, die auf Webservern im Hintergrund läuft und Webseiten dynamisch macht. Wenn Sie ein Formular ausfüllen, etwas in einen Warenkorb legen oder sich in einem Kundenportal anmelden, steckt häufig PHP dahinter.
Viele bekannte Systeme setzen darauf, darunter das Content-Management-System WordPress und zahlreiche Shop-Lösungen. Auch Branchensoftware mit Weboberfläche, Intranet-Anwendungen oder ältere Webprojekte laufen oft mit PHP.
Das Problem für viele kleine und mittlere Unternehmen: Sie nutzen PHP, ohne es zu wissen. Die Technik gehört zur Website, die eine Agentur gebaut hat, oder zum Hosting-Paket des Providers. Genau deshalb betrifft eine Warnung wie diese auch Betriebe ohne eigene IT-Abteilung.
Was ist passiert? Die Nachrichtenlage im Überblick
Die PHP-Entwickler:innen haben vorab angekündigt, Details und Korrekturen zu zwei Schwachstellen zu veröffentlichen, und das BSI hat daraufhin eine Warnung herausgegeben. Die zeitliche Abfolge am 21. Oktober 2026:
- Das BSI veröffentlicht eine Warnung (Version 1.0) und ruft Betreiber auf, sich auf kurzfristige Updates vorzubereiten.
- Um 16 Uhr deutscher Zeit (14 Uhr UTC) stellen die PHP-Entwickler Patches für verschiedene PHP-Versionen bereit und veröffentlichen weitere Details.
- Das BSI aktualisiert seine Warnung (Version 1.1).
Die beiden Schwachstellen tragen die Kennungen CVE-2026-109618 und CVE-2026-109619. Die Bewertung von jeweils 9,2 von 10 Punkten nach dem Bewertungssystem CVSS 4.0 liegt im kritischen Bereich. In der Berichterstattung wird der Fall wegen seiner möglichen Tragweite auch mit der bekannten Log4Shell-Lücke verglichen.
Das BSI hält eine kurzfristige, großflächige Ausnutzung innerhalb weniger Stunden nach Erscheinen der Updates für wahrscheinlich. Als Begründung nennt die Behörde, dass Angreifende mit KI-gestützten Werkzeugen Updates schnell analysieren und passende Angriffscodes erzeugen könnten.
Wie gefährlich sind die PHP-Schwachstellen wirklich?
Die Einstufung als kritisch bedeutet: Im ungünstigsten Fall könnten Angreifer Ihren Webserver aus der Ferne übernehmen. Fachleute nennen das „Remote Code Execution“, also die Ausführung fremden Programmcodes aus der Ferne, ohne dass die Angreifenden vorher Zugang zum System haben müssen.
Für Unternehmen können daraus unter anderem folgende Risiken entstehen:
- Manipulierte Webseiten: Inhalte werden verändert, Besucher auf Schadseiten umgeleitet.
- Datenabfluss: Kund:innen-, Bestell- oder Zugangsdaten gelangen in falsche Hände.
- Schadsoftware: Der Server wird als Ausgangspunkt für weitere Angriffe missbraucht.
- Betriebsausfall: Onlineshop oder Kundenportal sind zeitweise nicht erreichbar.
- Sprungbrett ins Firmennetz: Wenn der Webserver mit internen Systemen verbunden ist, kann ein Angriff dort weiterwirken.
Wichtig zur Einordnung: Das BSI hat von keinen bekannten Angriffen zum Zeitpunkt seiner Veröffentlichung berichtet. Auch sind zum Redaktionsschluss noch nicht alle technischen Details öffentlich bewertet worden. Es gilt also weder Panik noch Entwarnung. Entscheidend ist, schnell und strukturiert zu handeln.
Ist meine Website und mein Unternehmen betroffen?
Betroffen sind alle Systeme, auf denen PHP ab der Version 5 läuft und die noch nicht aktualisiert wurden. Mit diesen drei Fragen klären Sie das in wenigen Minuten:
- Läuft unsere Website oder Webanwendung mit PHP? Fragen Sie Ihre Agentur, Ihren Hosting-Anbieter oder Ihren IT-Dienstleister. Bei WordPress lautet die Antwort in der Regel ja.
- Wer ist für Updates zuständig und wurde der Patch eingespielt? Klären Sie Verantwortlichkeiten und lassen Sie sich den Patchstand schriftlich bestätigen.
- Gibt es vergessene Altsysteme? Alte Microsites, Testumgebungen oder nicht mehr gepflegte Projekte werden häufig übersehen und sind bevorzugte Angriffsziele.
Was sollten Sie jetzt tun? Sofortmaßnahmen für KMU
Spielen Sie die Sicherheitsupdates umgehend ein und prüfen Sie anschließend, ob sie wirken. Das empfiehlt auch das BSI. So gehen Sie vor:
- Dienstleister kontaktieren: Fragen Sie bei Hoster, Agentur oder IT-Betreuung nach dem aktuellen Patchstand Ihrer PHP-Umgebung.
- Updates installieren: Spielen Sie die von den PHP-Entwicklern bereitgestellten Korrekturen ein. Prüfen Sie dabei auch, ob Ihr Content-Management-System und Ihre Plug-ins mit der aktualisierten PHP-Version funktionieren.
- Wirksamkeit kontrollieren: Lassen Sie sich bestätigen, dass die neue Version tatsächlich aktiv ist. Ein angestoßenes Update ist noch kein abgeschlossenes Update.
- Systeme beobachten: Achten Sie auf ungewöhnliche Zugriffe, unbekannte Dateien oder auffällige Serverlast. Das BSI empfiehlt, exponierte PHP-Webserver verstärkt auf Auffälligkeiten zu überwachen.
- Sonderfall ältere PHP-Versionen: Wenn Ihre PHP-Version vom Hersteller nicht mehr unterstützt wird, ist möglicherweise kein regulärer Patch verfügbar. Prüfen Sie dann die Hinweise auf php.net und in der BSI-Warnung zu Workarounds. Erwägen Sie, das System abzusichern, zu migrieren oder vorübergehend vom Netz zu nehmen.
- Backups prüfen: Stellen Sie sicher, dass aktuelle, getrennt gespeicherte Datensicherungen vorhanden sind und sich wiederherstellen lassen.
- Notfallplan bereithalten: Legen Sie fest, wer im Verdachtsfall informiert wird und wer Entscheidungen trifft.
Was Sie langfristig daraus mitnehmen sollten
Schwachstellen wie diese lassen sich nicht verhindern, aber der Umgang damit lässt sich vorbereiten. Vier Dinge zahlen sich dauerhaft aus:
- Patch-Management als Daueraufgabe: Updates gehören fest in den Betriebsalltag, nicht erst in den Ernstfall.
- Klare Zuständigkeiten: Regeln Sie mit externen Dienstleistern vertraglich, wer wann welche Systeme aktualisiert und wie schnell bei kritischen Warnungen reagiert wird.
- Überblick über Ihre Systeme: Wer nicht weiß, welche Webanwendungen im Einsatz sind, kann sie auch nicht schützen. Ein einfaches Inventar hilft sofort.
- Verfügbarkeiten vorab klären: Dieser Vorfall zeigt wieder einmal deutlich: Cybernotfälle passieren plötzlich und zeitkritisches Handeln kann über Existenzen entscheiden.
Diese Punkte werden durch Vorgaben wie NIS2 und den Cyber Resilience Act zunehmend auch rechtlich relevant, weil Schwachstellen- und Lieferkettenmanagement dort eine größere Rolle spielen.
Häufige Fragen zu den PHP-Schwachstellen (FAQ)
Was ist PHP?
PHP ist eine Programmiersprache, die auf Webservern Webseiten und Webanwendungen dynamisch erzeugt. Sie ist die Grundlage vieler Systeme, etwa von WordPress und zahlreichen Onlineshops.
Welche PHP-Versionen sind von den Schwachstellen betroffen?
Nach aktuellem Kenntnisstand des BSI alle bekannten PHP-Versionen, mindestens zurück bis PHP 5. Patches wurden für unterstützte Versionen veröffentlicht.
Was bedeuten CVE-2026-109618 und CVE-2026-109619?
CVE-Nummern sind weltweit einheitliche Kennungen für bekannte Sicherheitslücken. Die beiden genannten Lücken sind nach CVSS 4.0 jeweils mit 9,2 von 10 Punkten bewertet, also kritisch.
Was ist eine Remote Code Execution?
Eine Schwachstelle, durch die Angreifer aus der Ferne eigenen Programmcode auf einem fremden Server ausführen können. Sie gilt als eine der gefährlichsten Schwachstellenarten.
Muss ich meine Website abschalten?
Nicht pauschal. Entscheidend ist, ob Ihr System bereits gepatcht ist. Wenn kein Update möglich ist, etwa bei nicht mehr unterstützten PHP-Versionen, sollten Sie Workarounds prüfen und im Zweifel über eine vorübergehende Abschaltung nachdenken.
Sind bereits Angriffe bekannt?
Zum Zeitpunkt der BSI-Warnung vom 21. Oktober 2026 waren keine Angriffe bekannt. Das BSI rechnet jedoch mit einer raschen Ausnutzung nach Veröffentlichung der Updates. Beobachten Sie deshalb die aktuellen Hinweise des BSI.
Wo bekomme ich Hilfe, wenn ich einen Vorfall vermute?
Die CYBERsicher Notfallhilfe der Transferstelle bietet einen Selbstcheck, Anlaufstellen und eine CYBERNotfall-Checkliste. Zusätzlich hilft Ihnen Ihr IT-Dienstleister weiter.
Unterstützung für Ihr Unternehmen
Die Transferstelle Cybersicherheit im Mittelstand unterstützt kleine und mittlere Unternehmen kostenfrei bei der Einschätzung und Verbesserung ihrer IT-Sicherheit:
- CYBERsicher Notfallhilfe: Selbstcheck, Anlaufstellen und Checkliste für den Verdachtsfall.
- CYBERsicher Check: Einschätzung Ihres aktuellen Sicherheitsniveaus.
Die jeweils aktuelle Lage entnehmen Sie bitte der Warnung des BSI und den Sicherheitshinweisen des PHP-Projekts auf php.net.
Quellen: BSI-Pressemitteilung „PHP: BSI warnt vor kritischen Schwachstellen“ (21.10.2026); BSI-Cybersicherheitswarnung „PHP – Kritische Schwachstellen bedrohen Webanwendungen weltweit“ (BITS-H 2026-297981, Version 1.1, 21.10.2026); Sicherheitshinweise des PHP-Projekts (php.net).
Verfasst von Johanna Baldus
Johanna Baldus ist bei der Transferstelle für die Öffentlichkeits- und Pressearbeit zuständig. Dort bringt sie ihre langjährige Erfahrung aus der Zusammenarbeit mit Unternehmen und Start-ups aus der Tech-Szene ein, die sie strategisch und operativ bei der Positionierung in der Fach-, Tages- und Wirtschaftspresse unterstützt hat.
