WAS GESCHAH: Am Mittwoch, dem 21. Oktober 2026, veröffentlichte das PHP-Projekt Notfallkorrekturen für zwei kritische Sicherheitslücken in PHP, einer weit verbreiteten Programmiersprache. Die Schwachstellen sind unter den Nummern CVE-2026-109618 und CVE-2026-109619 bekannt. Beide erreichen auf der CVSS-Schweregradskala einen Wert von 9,2 von 10. Regierungen, Rundfunkanstalten, Schulen, Krankenhäuser und Unternehmen schlossen die Sicherheitslücken in ihren Systemen und nahmen vorsorglich viele Websites offline. Der deutsche IT-Dienstleister ITZBund schaltete mehrere Regierungsseiten ab. Das kenianische Ministerium für Informations- und Kommunikationstechnologie (IKT) und die IKT-Behörde gaben am 21. Oktober eine Empfehlung heraus, in der sie öffentliche Einrichtungen aufforderten, ihre Systeme zu aktualisieren oder ihre Plattformen offline zu nehmen. In Frankreich wurden die Steuerdienste auf impots.gouv.fr auf Wartungsarbeiten umgestellt, und alle Präfektur-Websites wurden auf Anweisung der nationalen Cybersicherheitsbehörde ANSSI offline genommen. Auch Météo France und die CNIL waren nicht erreichbar. In Großbritannien wurden die Websites von The Traitors, Doctor Who und der Metropolitan Police offline genommen. In Japan rief Premierministerin Sanae Takaichi Website-Betreiber dazu auf, zu überprüfen, ob ihre Seiten auf PHP basieren und den Patch zu installieren. WER FAND DIE SCHWACHSTELLEN? Das Sicherheitsunternehmen Calif entdeckte die Schwachstellen im August 2026 mithilfe des OpenAI-GPT-5.6-Sol-Modells im Rahmen des OpenAI-Programms „Patch the Planet“. Wiz, ein zu Google gehörendes Sicherheitsunternehmen, fand sie Wochen später unabhängig davon mit seinem Atlas-System, dem Gemini-4-Argon-Roboter und GPT-5.6 Sol. OpenAI gibt an, dass auch ein interner Forscher das Problem entdeckt hat. Berichten zufolge blieben die Schwachstellen über ein Jahrzehnt lang unentdeckt; sie befanden sich im Code der PHP-5-Serie, die erstmals 2004 veröffentlicht wurde. WARUM DER PATCH FRÜH ERSCHIEN? Die PHP Foundation hatte eine koordinierte Veröffentlichung geplant, damit die Korrekturen Systemadministratoren erreichen konnten, bevor die Details öffentlich wurden. Die Details wurden am Dienstag auf Hacker News geleakt, die Notfallveröffentlichung folgte am Mittwoch. Ein Proof-of-Concept-Exploit kursierte im Anschluss. Matthew Prince, CEO von Cloudflare, berichtete am 22. Oktober auf X, dass sein Netzwerk in den zehn Stunden vor der öffentlichen Bekanntgabe Tausende von Ausnutzungsversuchen verzeichnete. Er schrieb, die Zahl sei innerhalb von 45 Minuten nach der Ankündigung auf Zehntausende, innerhalb von zwei Stunden auf Hunderttausende und danach auf Millionen gestiegen. SCHWEREGRAD-EINSTUFUNG: Volker Dusch, Sicherheitsingenieur der PHP Foundation, bezeichnete die Sicherheitslücke als die schwerwiegendste PHP-Schwachstelle seit über einem Jahrzehnt und verglich sie mit Heartbleed (2014). Wiz verglich sie mit Heartbleed und Log4Shell. Die US-amerikanische National Security Agency (NSA) erklärte, die Schwachstellen böten einen direkten Zugriff auf das Dateisystem oder die Datenbank eines Servers. Die NSA, das britische NCSC, CERT-EU sowie Behörden in Australien und Japan rieten Organisationen, die die Schwachstelle nicht sofort beheben konnten, ihre Systeme offline zu nehmen. HINTERGRUND ZU PHP: Was ist PHP? PHP ist eine Programmiersprache, die auf Webservern läuft – den Computern, die Webseiten an Browser ausliefern. Wenn ein Browser eine Seite von einer PHP-basierten Website anfordert, führt der Server ein PHP-Programm aus, das Daten wie Kontodetails, Produktlisten oder einen Blogbeitrag sammelt.Der Server erstellt die Seite und sendet sie als HTML an den Browser. Besucher sehen die Ausgabe, nicht den PHP-Code. Dies nennt man serverseitige Programmierung. Ursprung: Rasmus Lerdorf, ein dänisch-kanadischer Programmierer, entwickelte PHP 1994 und 1995 als Toolset zur Besucheranalyse seines Online-Lebenslaufs. Es hieß ursprünglich „Personal Home Page Tools“, daher das Akronym PHP. Später wurde es in „PHP: Hypertext Preprocessor“ umbenannt – ein rekursives Akronym. Wichtige Versionen: PHP 3 (1998), PHP 5 (2004), PHP 7 (2015) und PHP 8 (2020). Verwendung: PHP ist kostenlos, Open Source und wird von den meisten Webhosting-Anbietern unterstützt. Es bildet die Grundlage für WordPress, Drupal, Joomla, Magento und MediaWiki, die Software hinter Wikipedia. Frameworks wie Laravel und Symfony basieren darauf. Facebook wurde ursprünglich in PHP geschrieben. Wiz schätzt, dass etwa 70 Prozent aller Websites mit PHP laufen; die BBC konnte diese Zahl nicht unabhängig bestätigen. Der Analysedienst W3Techs berichtet von etwa 75 Prozent der Websites, bei denen die serverseitige Programmiersprache identifiziert werden kann. Der Anteil von PHP an Websites ist mit dem Aufkommen anderer Sprachen und Plattformen stetig gesunken. WICHTIGE BEGRIFFE: Schwachstelle: ein Fehler in einer Software, den ein Angreifer ausnutzen kann. CVE (Common Vulnerabilities and Exposures): ein öffentlicher Katalog bekannter Sicherheitslücken. CVE-2026-109618 und CVE-2026-109619 identifizieren die beiden in diesem Artikel beschriebenen Schwachstellen. CVSS (Common Vulnerability Scoring System): eine Skala zur Bewertung des Schweregrads von Sicherheitslücken von 0 bis 10. Werte von 9,0 bis 10,0 gelten als kritisch. Remote Code Execution (RCE): eine Schwachstelle, die es einem Angreifer ermöglicht, von einem entfernten Standort aus Befehle auf einem Server auszuführen. Beide Schwachstellen ermöglichen unauthentifizierte RCE, d. h. es ist keine Anmeldung oder kein Konto erforderlich. Machbarkeitsnachweis: Beispielcode, der demonstriert, wie eine Sicherheitslücke ausgenutzt werden kann. Patch: Ein Software-Update, das eine Sicherheitslücke behebt. Koordinierte Offenlegung: Die Praxis, Details einer Sicherheitslücke zurückzuhalten, bis eine Lösung verfügbar ist. WAS DIE SCHWACHSTELLEN ERMÖGLICHEN: Ein erfolgreicher Remote-Code-Ausführungsangriff kann einem Angreifer die Kontrolle über einen Server, Zugriff auf dessen Dateisystem und Datenbank, die Möglichkeit zur Veränderung oder Verunstaltung einer Website, die Installation persistenter Hintertüren und die Nutzung des Servers für Angriffe auf andere Systeme verschaffen. SCHRITTE ZUM PATCHEN FÜR WEBSITE-BETREIBER: 1. Stellen Sie fest, ob die Website PHP verwendet. WordPress-, Drupal-, Joomla- und Magento-Websites verwenden PHP. 2. Überprüfen Sie die PHP-Version über Ihren Hosting-Anbieter oder durch Ausführen von „php -v“ mit Zugriff auf die Kommandozeile. 3. Aktualisieren Sie auf eine korrigierte Version. Die Notfallversionen sind PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35. 4. Wenn das Patchen nicht sofort möglich ist, befolgen Sie die offiziellen Anweisungen, die unter Umständen die Offline-Schaltung der Website beinhalten. 5. Zweigstellen, die keine Sicherheitsupdates mehr erhalten, müssen auf eine unterstützte Version aktualisiert werden. 6. Aktualisieren Sie das Content-Management-System, die Plugins und Themes und überprüfen Sie die Serverprotokolle auf verdächtige Aktivitäten. Quellen: Reuters, BBC, The Next Web, RTL Today, LBC, The Local (Deutschland und Frankreich), RTL France, Tuko, Kenyans.co.ke, DevDiscourse, WIONGraphic Online und ASEAN Now. FIVEO1, Postfach 312786, Avalon, Kalifornien 90704, Evan Winter, Distrikt 69, Kalifornien ← Zurück zu Fiveo1