Kritische PHP-Sicherheitslücken: CVE-2026-109618, CVE-2026-109619

CVE-2026-109618,  CVE-2026-109619

Am 21. Oktober 2026 wurden zwei kritische Sicherheitslücken in PHP veröffentlicht: CVE-2026-109618 und CVE-2026-109619. Beide Schwachstellen können unter bestimmten Voraussetzungen die Ausführung von Schadcode aus der Ferne ermöglichen – ohne dass sich ein Angreifer zuvor am System authentifizieren muss.

Da PHP eine zentrale Komponente zahlreicher Websites, Content-Management-Systeme und Webanwendungen ist, betrifft diese Sicherheitsmeldung einen wesentlichen Teil der Webinfrastruktur. Auch Anwendungen auf Basis von WordPress und anderen PHP-Systemen können betroffen sein.

Wir haben die Veröffentlichung zum Anlass genommen, unsere Infrastruktur zeitnah zu überprüfen und erforderliche Schutzmaßnahmen einzuleiten.

Was steckt technisch hinter den Sicherheitslücken?

Die beiden Schwachstellen betreffen den PHP-Laufzeitinterpreter selbst und sind damit nicht auf eine einzelne Webanwendung oder ein bestimmtes Content-Management-System beschränkt.

Die veröffentlichten technischen Analysen beschreiben Probleme bei der Speicherverwaltung und beim internen Zustand der PHP-Verarbeitung. Speziell präparierte HTTP-Anfragen können unter bestimmten Bedingungen Fehlerzustände auslösen, die im ungünstigsten Fall eine Ausführung von Schadcode ermöglichen.

Das Besondere an diesen Schwachstellen ist, dass die Ausnutzung nicht zwingend einen gültigen Benutzerzugang voraussetzt. Ein öffentlich erreichbarer Webserver kann bereits durch entsprechend gestaltete Anfragen gefährdet sein.

Die Auswirkungen hängen unter anderem von der eingesetzten PHP-Version, der Serverkonfiguration und der verwendeten PHP-Ausführungsumgebung ab. Besonders relevant sind daher alle Systeme, die PHP-Anfragen aus dem Internet entgegennehmen.

Eine Aktualisierung einzelner WordPress-Plugins oder Themes reicht in diesem Fall nicht aus. Entscheidend ist, dass die betroffene PHP-Laufzeitumgebung selbst auf eine korrigierte Version aktualisiert wird.

Welche Maßnahmen haben wir ergriffen?

Die Absicherung unserer Systeme erfolgte in mehreren Schritten.

1. Prüfung der betroffenen Systeme

Zunächst haben wir die von uns betriebenen beziehungsweise administrierten Webserver und PHP-Umgebungen überprüft. Ziel war es, potenziell betroffene Dienste zu identifizieren und den erforderlichen Handlungsbedarf festzustellen.

2. Vorsorgliche Einschränkung des Betriebs

Soweit es aufgrund der Risikobewertung erforderlich war, wurden betroffene Webdienste vorübergehend deaktiviert. Diese Maßnahme diente dazu, mögliche Angriffswege während der Vorbereitung und Durchführung der Sicherheitsmaßnahmen einzuschränken.

Ein vorübergehender Ausfall einzelner Dienste wurde dabei bewusst in Kauf genommen, wenn dies zur Risikominimierung erforderlich war.

3. Einspielen der Sicherheitsupdates

Nach Veröffentlichung der korrigierten PHP-Versionen haben wir die erforderlichen Aktualisierungen hinsichtlich ihrer Verfügbarkeit und Kompatibilität geprüft und die Updates auf unseren Systemen eingespielt.

Die offiziellen Korrekturen wurden unter anderem für PHP 8.5, 8.4, 8.3 und 8.2 bereitgestellt. Maßgeblich ist jeweils eine tatsächlich korrigierte Version der eingesetzten PHP-Umgebung.

4. Kontrolle der Systemprotokolle

Zusätzlich haben wir die verfügbaren System- und Zugriffsprotokolle auf Auffälligkeiten überprüft. Dabei ging es insbesondere darum, mögliche Hinweise auf ungewöhnliche Anfragen oder eine unbefugte Nutzung der betroffenen Dienste zu erkennen.

Die Auswertung der verfügbaren Protokolle ergab zum Zeitpunkt der bisherigen Prüfung keine eindeutigen Hinweise auf eine erfolgreiche Kompromittierung. Die weitere Auswertung dauert an.

Dabei ist zu berücksichtigen, dass Protokolle nicht zwangsläufig sämtliche Aktivitäten erfassen. Das bisherige Prüfergebnis ist daher kein abschließender Beweis dafür, dass ein Angriff vollständig ausgeschlossen werden kann.

5. Kontrollierte Wiederinbetriebnahme

Nach Durchführung der erforderlichen Maßnahmen wurden die betroffenen Dienste schrittweise wieder in Betrieb genommen. Anschließend haben wir ihre grundlegende Funktionsfähigkeit überprüft.

Die Wiederinbetriebnahme erfolgte auf Grundlage der durchgeführten Maßnahmen und der jeweiligen technischen Prüfung.

Was bedeutet das für unsere Kundinnen und Kunden?

Die Sicherheit und Verfügbarkeit der betreuten Websites und Dienste haben für uns hohe Priorität. Bei kritischen Sicherheitsmeldungen bewerten wir deshalb nicht nur die unmittelbare technische Gefahr, sondern auch die möglichen Auswirkungen auf den laufenden Betrieb.

Bei der bisherigen Überprüfung wurde kein eindeutiger Beleg für einen erfolgreichen Angriff auf die von uns geprüften Systeme festgestellt. Die Auswertung der verfügbaren Protokolle ist jedoch noch nicht abgeschlossen.

Bei gemanagten Systemen, deren technische Administration gemeinsam mit externen Anbietern erfolgt, stimmen wir die notwendigen Prüfungen und Maßnahmen mit dem jeweiligen Anbieter ab.

Sollten sich neue Erkenntnisse ergeben, die eine weitere Maßnahme erforderlich machen, werden wir diese entsprechend bewerten und umsetzen.

Warum zeitnahe Sicherheitsupdates so wichtig sind

Sicherheitslücken in zentralen Laufzeitumgebungen lassen sich nicht allein durch die Aktualisierung einer einzelnen Website schließen. Die Absicherung muss auf der Ebene erfolgen, auf der die Schwachstelle tatsächlich besteht.

Dazu gehören insbesondere:

  • die zeitnahe Installation verfügbarer Sicherheitsupdates,
  • die Überprüfung aller eingesetzten PHP-Versionen,
  • die vorübergehende Einschränkung gefährdeter Dienste, wenn eine sofortige Aktualisierung nicht möglich ist,
  • die Kontrolle verfügbarer Protokolle auf mögliche Auffälligkeiten,
  • sowie die anschließende Funktionsprüfung der aktualisierten Systeme.

Gerade bei öffentlich erreichbaren Webservern ist ein strukturiertes Vorgehen entscheidend, um Sicherheitsrisiken zu reduzieren und gleichzeitig die Verfügbarkeit der betreuten Dienste möglichst rasch wiederherzustellen.

Offizielle Informationen

Weiterführende technische Informationen und die veröffentlichten Korrekturen finden sich in den folgenden Quellen:

Den aktuellen Betriebsstatus unserer überwachten Dienste finden Sie außerdem unter WDNS.at Uptime Monitoring[5].

Unser Anspruch

Die aktuelle Sicherheitsmeldung zeigt einmal mehr, wie wichtig eine zeitnahe Reaktion auf kritische Schwachstellen, eine sorgfältige technische Prüfung und ein verantwortungsvoller Umgang mit möglichen Risiken sind.

Wir beobachten die weitere Entwicklung, berücksichtigen neue technische Erkenntnisse und setzen erforderliche Maßnahmen für die von uns betreuten Systeme um.

WDNS.at – Sicherheit, Verfügbarkeit und verlässliche IT-Dienstleistungen.