PHP-Entwickler wollen Patches für zwei kritische Schwachstellen veröffentlichen; Behörden raten zur Isolierung von Systemen

Die Entwickler von PHP erklärten, sie würden am Mittwoch, dem 21. Oktober 2026, Patches für zwei kritische Schwachstellen in der Programmiersprache PHP veröffentlichen. PHP wird häufig zur Erstellung von Websites und Webanwendungen eingesetzt.

Das Cybersicherheitsteam der EU, CERT-EU, riet Organisationen, die die Korrekturen nicht einspielen können, zu erwägen, betroffene Systeme vom Netz zu nehmen oder sie von öffentlichen Netzwerken zu isolieren. Das britische National Cyber Security Centre (NCSC) gab eine ähnliche Empfehlung heraus. Die BBC zitierte es mit den Worten: „Wo eine sofortige Behebung nicht möglich ist, sollten Organisationen erwägen, das System vom Netz zu nehmen, bis die Risiken vollständig gemindert werden können.“

Die Schwachstellen wurden so beschrieben, dass sie potenziell eine Remotecodeausführung auf betroffenen Servern ermöglichen könnten. Laut BBC erklärte CERT-EU, Risikobewertungen „deuten auf die Möglichkeit einer Remotecodeausführung ohne Authentifizierung hin“. Das Cybersicherheitsunternehmen watchTowr bezeichnete sie laut The Verge als Schwachstellen vom Typ Remote Code Execution.

Zeitplan und berichtete Auswirkungen

Laut BBC veröffentlicht die PHP Foundation die Updates am Mittwochnachmittag. The Verge berichtete, der Patch werde um 10:00 Uhr ET erwartet und könne früher kommen, falls Details öffentlich würden oder eine Ausnutzung festgestellt werde. Laut The Verge stufte ein am Dienstag veröffentlichter Hinweis für Entwickler den Schweregrad der Schwachstellen mit 9,2 von 10 ein.

Laut BBC erklärte die Cybersicherheitsbehörde der Niederlande, sie nehme ihre eigene Website vom Netz, und das niederländische Nationale Institut für Volksgesundheit und Umwelt hat seine Website abgeschaltet. Die BBC berichtete zudem, die Website der Tweede Kamer, des Unterhauses des niederländischen Parlaments, sei nicht mehr erreichbar gewesen. Eine Ursache nannte sie nicht. Australische Cybersicherheitsbehörden forderten Nutzer auf, Korrekturen einzuspielen, sobald sie verfügbar sind, berichtete die BBC.

Laut The Verge nahm GrapheneOS sein Nutzerforum vorübergehend vom Netz, und Cloudflare aktualisiert als Übergangslösung seine Firewall-Regeln. Ein nicht namentlich genannter Forscher schätzte, dass wahrscheinlich mehr als 1,3 Millionen mit dem Internet verbundene Hosts betroffen sind, berichtete The Verge.

Was unklar bleibt

Welche Versionen betroffen sind, steht nicht fest. CERT-EU – laut BBC – und watchTowr – laut The Verge – erklärten, Versionen ab PHP 5 könnten betroffen sein. Die BBC schrieb, dies sei noch nicht klar. Die von Vocemundi ausgewerteten Berichte enthalten keine CVE-Kennungen, beschreiben die Schwachstellen jedoch als Schwachstellen zur Remotecodeausführung. Sie entstanden vor der geplanten Veröffentlichung und bestätigen nicht, dass die Patches erschienen sind.

Was die einzelnen Seiten sagen

• Cloudflare-CTO Dane Knecht wurde von der BBC mit den Worten zitiert, das Unternehmen „sieht erste aufkommende Angriffe und aktualisiert die Schutzmaßnahmen, sobald neue Angriffsvektoren auftauchen“. Die Berichte enthalten keine unabhängige Bestätigung einer aktiven Ausnutzung.
• Wordfence erklärte laut The Verge, jede WordPress-Website werde verwundbar sein und die Korrektur könne nicht über automatische Updates installiert werden.
• Gina Peter Banyard aus dem PHP-Entwicklerteam sagte laut The Verge, Patchen sei die einzige Schutzmaßnahme; andernfalls „könnte es das Vernünftigste sein“, die Server abzuschalten.
• Forscher von Sansec erwarten laut The Verge „Massenangriffe innerhalb von 15 Minuten nach der Veröffentlichung“.
• Huntress erklärte laut BBC, PHP bilde die Grundlage für Websites mit WordPress, Drupal, Joomla und Magento sowie für weitere Software.
• Das NCSC riet Organisationen, Drittanbieter weiterhin auf Updates zu überwachen, auch bei Geräten, in denen PHP möglicherweise enthalten ist.

Analyse

Die abgestimmten Empfehlungen mehrerer nationaler Behörden deuten darauf hin, dass Verantwortliche die Schwachstellen als gravierend einstufen, auch wenn die von Vocemundi ausgewerteten Berichte keine CVE-Kennungen oder unabhängige Bestätigungen von Angriffen enthalten. Die wichtigste praktische Herausforderung scheint die Geschwindigkeit zu sein: PHP ist häufig in Hosting-Plattformen und Produkte von Drittanbietern eingebettet, und Wordfence zufolge kann die Korrektur nicht automatisch eingespielt werden. Sollten sich Warnungen vor einer raschen Ausnutzung als zutreffend erweisen, könnten Organisationen, die spät patchen, einem erhöhten Risiko ausgesetzt sein. Andernfalls könnten die vorübergehenden Abschaltungen von Websites als Vorsichtsmaßnahme in Erinnerung bleiben. Klarheit über die betroffenen Versionen und über die Veröffentlichung des Patches dürfte beeinflussen, wie Organisationen reagieren.

Erstellt von der Vocemundi-Redaktion mit KI-Unterstützung. Automatisch aus dem Englischen übersetzt; maßgeblich ist die Originalfassung.