Hechingen, 21.10.2026

Das BSI warnt aktuell vor einer Sicherheitslücke in praktisch allen PHP Versionen seit Version PHP5!

Die PHP Foundation stuft die Lücke mit einem CVSS-Score von 9,2 von 10

17:54 Uhr Informationsupdate

Die Updates konnten nun auch für PHP 5.6 bis PHP 8.1 bereitgestellt werden! Auf unseren Server wurden die entsprechenden Updates bereits aufgespielt!

16:42 Uhr Update

Nachdem die Updates herausgegeben wurden, haben wir diese auch zeitnah schon auf den Webhosting-Servern eingespielt.

Gepatched wurden die PHP Versionen 8.2 und neuer. Alle älteren Versionen werden wohl keine Updates mehr erhalten.

Die ersten Webseiten wurden auch bereits wieder online geschaltet, nachdem diese auf Wunsch deaktiviert wurden!

13:40 Uhr Warnmeldung mit Kundeninformationen

Die Sicherheitslücken sind unter CVE-2026-109618 und CVE-2026-109619 veröffentlich worden!

Mit dieser Lücke rollte eine Bedrohungslage unbekannten Ausmaßes auf alle Web- und Applikationserver zu, bei denen PHP im Einsatz ist! Die Lücke ist damit rund seit 20 Jahren im Umlauf und betrifft Millionen von Websites, Portale und Shops. 

Stand heute, 21.10.2026 - 14 Uhr -  gibt es bisher weder einen Workaround, noch einen entsprechenden Sicherheitspatch, den man installieren könnte!

Warum ist das Risiko so hoch?

Es handelt sich um eine unauthentifizierte Remote Code Execution (RCE). Angreifer können Schadcode ohne jeglichen Login aus der Ferne auf dem Webserver ausführen und diesen komplett übernehmen. Im Netz kursiert bereits eine Video-Demo des Exploits. Derzeit wissen noch nicht viele, wie genau die Schwachstelle ausgenutzt werden kann. Aber mit jeder weiteren Stunde wächst das Risiko und spätestens, wenn die Patches veröffentlicht werden, kann jeder sehen, wo die Schwachstelle sitzt und wie man sie ausnützt. Die Angriffswelle dürfte enorme Ausmaße annehmen, wenn das passiert.

Eigentlich hätte die Information noch nicht veröffentlich werden sollen, sondern erst, wenn es die Sicherheitspatches gibt. Doch die Informationen sind irgendwo durchgesickert und jetzt wächst das Potential für eine enormen Schaden sprunghaft an!

Wann kommen die Patches?

Die ersten Patche werden heute um 16 Uhr veröffentlicht werden. Das ist jedoch trügerisch, denn zum einen werden die Downloadserver relativ schnell überlastet werden und zum anderen müssen die Entwickler der Linuxdistributionen wie Ubuntu, Debian usw. die Patche auch erst noch für deren Systeme anpassen und dann herausgeben. 

Wichtig: für viele PHP Versionen wird es aber keine Patche mehr geben, weil die schon längst End of Life sind. Hier muss zwingend auf eine aktuelle Version mit Support gewechselt werden!

Was sollten Administratoren und Webseitenbetreiber jetzt tun?

1. Verschaffen Sie sich einen Überblick
   Prüfen Sie sofort Ihre Server und inventarisieren Sie die genutzte PHP Versionen. 
2. Bereiten Sie sich vor
   Heute um 16 Uhr sollen die Updates veröffentlich werden. Versuchen Sie die Updates umgehend auf Ihren Servern einzuspielen. Man rechnet damit, wenn die Lücke damit dann bekannt wird, dass die Angriffszahlen explosionsartig steigen. 
3. Vorsicht vor Fehlinformationen
   Fallen Sie nicht auf vermeintliche Workarounds herein, aktuell gibt es keine verlässlichen Lösungen und ist laut Experten unwirksam!
4. Wer ganz sicher gehen möchte: Trennen Sie die Systeme vom Netz
   Wer nicht direkt heute um 16 Uhr die Patches einspielen kann, sollte eine Strategie überlegen, ob die Server dann sicherheitshalber nicht vom Netz getrennt werden sollten - siehe Nummer 2! Derzeit ist nicht vielen bekannt, wie der Exploid funktioniert, das ändert sich schlagartig, wenn die Patches bereitstehen. Damit wissen Angreifer gezielt, was angepasst wurde und wie und wo die Schwachstelle sitzt.

Wir versuchen in Kürze hier weitere Informationen zu veröffentlichen!

Kontakt:
za-internet GmbH
Telefon: 0 74 71 / 9 30 199-0

E-Mail: info@za-internet.de
Website: www.za-internet.de