Kritische PHP-Lücken: was Sie heute erledigen

Am 20. Oktober veröffentlichte CERT-EU, das Cybersicherheitsteam der europäischen Institutionen, den Hinweis 2026-018. Er betrifft zwei Lücken in PHP, bekannt als CVE-2026-109618 und CVE-2026-109619. Beide haben einen CVSS-Wert von 9,2. Laut dem Hinweis kann ein Angreifer über diese Lücken möglicherweise Code auf einem Server ausführen, ohne sich vorher anzumelden. Das PHP-Team veröffentlicht am 21. Oktober um 14:00 Uhr UTC (16:00 Uhr MESZ) ein Sicherheitsupdate. Technische Details sind noch nicht öffentlich.

Warum das auch Ihre Organisation betrifft

PHP ist die Programmiersprache hinter einem großen Teil des Webs. WordPress läuft damit, ebenso viele Webshops, Kundenportale, Intranets, Webmail und die Verwaltungsoberflächen von Hosting-Paketen. Laut CERT-EU können alle PHP-Versionen ab PHP 5 betroffen sein. Auch eine alte Website, die seit Jahren niemand mehr anfasst, zählt also mit.

Eine Lücke, über die ein Angreifer ohne Anmeldung Code ausführen kann, wird typischerweise innerhalb weniger Tage nach dem Patch massenhaft ausgenutzt. Angreifer vergleichen die alte und die neue Version und sehen dann genau, wo das Problem lag. Die Zeit zwischen Update und ersten Angriffen ist deshalb kurz.

Was Sie heute erledigen

1. Erstellen Sie eine Liste von allem, was auf PHP laufen kann: Website, Webshop, Kundenportal, Webmail und die Verwaltungsoberfläche Ihres Hostings. Unsicher? Fragen Sie Ihren Webentwickler oder Hosting-Anbieter.
2. Fragen Sie Ihren Hosting-Anbieter, ob und wann er das PHP-Update nach 16:00 Uhr MESZ einspielt. Bei Shared Hosting erledigt er das meist selbst; bei einem eigenen Server oder VPS sind Sie oft selbst zuständig.
3. Installieren Sie das Update, sobald es verfügbar ist. Warten Sie nicht auf das nächste Wartungsfenster.
4. Gelingt das Update nicht schnell, nehmen Sie die Anwendung vorübergehend vom Netz oder schützen Sie sie mit einer Anmeldung. Das empfiehlt auch CERT-EU.
5. Halten Sie fest, was Sie wann getan haben. Fällt Ihre Organisation unter NIS2 oder verlangt ein Kunde einen Nachweis Ihrer Sicherheit, haben Sie ihn sofort zur Hand.

Und Stilops selbst

Stilops verwendet kein PHP. Wir haben unseren Code und die Einrichtung unserer Server anhand des Hinweises geprüft, und PHP kommt darin nicht vor. Für Stilops-Kunden ändert sich durch diese Lücke also nichts am Dienst. Bei Lieferanten, die wir selbst nutzen, verfolgen wir deren Updates.

Ein Stilops-Agent kann aber beim ersten Schritt helfen: Anhand dessen, was Sie über Ihre Website und Systeme erzählen, listet er auf, was auf PHP laufen kann, und bereitet für jeden Punkt eine Nachricht an Ihren Hosting-Anbieter oder Webentwickler vor. Senden tun Sie selbst, wie immer nach Ihrer Freigabe.