EILMELDUNG: Umgehender Patch für kritische PHP-Schwachstellen angeraten! : BSI warnt vor kurzfristiger großflächiger Ausnutzung nach Patch-Veröffentlichung
Kritische Schwachstellen innerhalb der Programmiersprache PHP bedrohen aktuell weltweit Webanwendungen. Eine Veröffentlichung entsprechender Sicherheitsupdates durch die Entwickler ist heute kurz nach 15:30 Uhr erfolgt. BSI und PHP.net rufen IT-Sicherheitsverantwortliche und Betreiber dazu auf, diese umgehend zu installieren.
Aktuellen Informationen des BSI zufolge sind alle bekannten PHP-Versionen, zurückgehend bis mindestens PHP 5, verwundbar. Derzeit lasse sich nicht ausschließen, dass Angreifer durch die Schwachstellen aus der Ferne schädlichen Code auf Webservern mit PHP-Anwendungen ausführen könnten. Als zentraler Baustein in Webanwendungen wird PHP weltweit eingesetzt – mit Kenntnis derartiger Schwachstellen könnte es Angreifern gelingen, massive Angriffskampagnen durchzuführen und IT-Systeme aus den unterschiedlichsten Anwendungsbereichen zu kompromittieren.
BSI-Vizepräsident Thomas Caspers mahnt: „Wir halten eine kurzfristige, großflächige Ausnutzung innerhalb weniger Stunden nach Erscheinen der Sicherheitsupdates für wahrscheinlich. Angreifer können diese mittels KI-gestützter Werkzeuge innerhalb kurzer Zeit analysieren und entsprechende Exploits generieren. Es besteht also unverzüglicher Handlungsbedarf!“
Auch wenn zum aktuellen Zeitpunkt nur wenige Details verfügbar seien, legen die Bewertungen nach „Common Vulnerability Scoring System“ (CVSS Version 4.0) mit 9.2 von 10 nahe, dass es Angreifern auf Basis von CVE-2026-109618 und CVE-2026-109619 gelingen könnte, aus der Ferne schädlichen Code auf Webservern mit PHP-Anwendungen auszuführen (Remote Code Execution, RCE). Weiterhin lasse sich aus den CVSS-Scores ableiten, dass für eine Ausnutzung weder eine Authentifizierung noch eine Nutzerinteraktion erforderlich seien. Die Schwachstellen werden in aktuellen Berichtserstattungen auch als „PHP2Shell“ bezeichnet, um die Ähnlichkeit mit der Schwachstelle „Log4Shell“ aufzuzeigen. Zum aktuellen Zeitpunkt sind laut BSI noch keine bestätigten Ausnutzungen der Schwachstellen bekannt, jedoch gebe es bereits unbestätigte Berichte über existierende Exploits.
Die PHP-Entwickler wollen am 21. Oktober um 16 Uhr deutscher Zeit Patches für unterschiedliche PHP-Versionen bereitstellen, die vor Angriffen schützen sollen. Um unverzüglich auf die Veröffentlichung reagieren zu können, sollten Organisationen entsprechende personelle Ressourcen bereithalten: Das BSI ruft IT-Sicherheitsverantwortliche und Betreiber dazu auf, zu diesem Zeitpunkt umgehend die Patches auf PHP-Webserver einzuspielen sowie den Patchstatus anhand des Advisories zu verifizieren. Betreiber sollten exponierte PHP-Webserver zudem verstärkt auf Auffälligkeiten beobachten.
UPDATE: Auf www.php.net stehen nun Security-Patches für PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35 bereit, die zwei kritische Schwachstellen beheben – auch die PHP-Entwickler empfehlen dringend eine umgehende Aktualisierung! Betroffen seien alle PHP-Installationen, die Web-Aufrufe bedienen – inklusive PHP-FPM, Apache mit mod_php, php-cgi, FrankenPHP sowie LiteSpeed. PHP.net sieht das höchste Risiko für mod_php, da ein vorliegender Exploit hierfür zeige, dass ein unauthentifizierter Request eine Attacke auslösen könnte, bevor jeglicher Anwendungscode gestartet werde.
Näheres zu den PHP-Verwundbarkeiten
- RCE via OOM corruption (CVE-2026-109618, GHSA-w8hw-w9fx-j79w): Out-of-Memory-Handling könne hier PHP unterbrechen, während intern angeforderte Daten nur teilweise initialisiert wurden. Ein anschließende „Request Cleanup“ könnte dann ungültige Daten als valide erachten.
- RCE via stale global state (CVE-2026-109619, GHSA-6wmf-4rv5-p3rp): Ein „Request-owned Internal State“ könne „überleben“, nachdem der zugehörige Speicherbereich freigegeben wurde. Spätere Requests, die von demselben „Worker“ behandelt werden, könnten dann diesen übrig gebliebenen Code nutzen, bevor die normale Initialisierungsroutine ihn löscht.