Kritische Sicherheitslücken in PHP gefährden Millionen von Websites

Cybersecurity-Forscher warnen vor zwei schwerwiegenden Sicherheitslücken in der Programmiersprache PHP, die es Hackern ermöglichen könnten, bösartigen Code auf verwundbaren Servern auszuführen. Das Problem ermöglicht laut Experten eine Fernsteuerung der Systeme, ohne dass sich die Angreifer zuvor anmelden müssen. Die Schwachstellen wurden von Tenable Research unter den Bezeichnungen CVE-2026-109618 und CVE-2026-109619 identifiziert und als sogenannte „Vulnerabilities of Concern“ eingestuft, was die höchste Gefahrenstufe ihres Programms darstellt.

Die Tragweite der Sicherheitslücken ergibt sich aus der massiven Verbreitung von PHP. Schätzungen zufolge nutzen fast 70 Prozent aller Websites, die eine bekannte serverseitige Programmiersprache verwenden, PHP. Da die Fehler die Sprache selbst und nicht nur einzelne Anwendungen betreffen, sind weite Teile der Web-Infrastruktur gefährdet, darunter Content-Management-Systeme und geschäftliche Plattformen. Die Schwachstelle CVE-2026-109619 birgt zudem das Risiko, dass Informationen aus dem Arbeitsspeicher des Servers ausgelesen werden können.

Satnam Narang, leitender Forschungsingenieur bei Tenable, verglich die Bedeutung dieser Sicherheitslücken mit dem Log4Shell-Vorfall aus dem Jahr 2021. Während die PHP Foundation zum Zeitpunkt der Veröffentlichung keine funktionierenden Exploits nachweisen konnte, gab es bereits Berichte über erste Ausbeutungsversuche. Die Entdeckung der Lücken erfolgte mithilfe von künstlicher Intelligenz, wobei die Veröffentlichung beschleunigt wurde, nachdem Identifikatoren vorzeitig durchgesickert waren.

Das PHP-Sicherheitsteam hat bereits am 21. Oktober 2026 Sicherheitsupdates veröffentlicht und fordert Administratoren zu sofortigen Aktualisierungen auf. Betroffene Installationen sollten auf die Versionen PHP 8.2.35, 8.3.36, 8.4.27, 8.5.12 oder neuere Versionen aktualisiert werden. Narang gab zu bedenken, dass das Einspielen der Patches für Organisationen, die veraltete Software oder gebündelte Anwendungen nutzen, länger dauern könnte, da sie auf Kompatibilitäts-Updates der jeweiligen Anbieter warten müssen.