Die EU-Sicherheitsbehörde CERT-EU empfiehlt, öffentlich erreichbare und nicht kurzfristig aktualisierbare PHP-Anwendungen gegebenenfalls vorübergehend vom Internet zu isolieren. Auch das britische National Cyber Security Centre (NCSC) und das österreichische CERT.at haben dringende Warnungen veröffentlicht.
Wichtig: Die Abschaltungen erfolgen überwiegend vorsorglich. Sie sind kein Nachweis dafür, dass die betreffenden Behörden oder Unternehmen bereits kompromittiert wurden.
Niederlande: Parlament, Behörden und Onlinedienste offline
Besonders weitreichend sind die Maßnahmen in den Niederlanden. Dort wurden am Mittwoch zahlreiche wichtige Internetangebote vorsorglich abgeschaltet.
Nach Angaben des öffentlich-rechtlichen Nachrichtensenders NOS sind unter anderem folgende Dienste betroffen:
- Die Webseite der Tweede Kamer, des niederländischen Parlaments.
- Das nationale Cybersicherheitszentrum NCSC.
- Die niederländische Datenschutzaufsicht Autoriteit Persoonsgegevens.
- Das staatliche Onlineportal MijnOverheid.
- DigiD, der zentrale niederländische Anmeldedienst für digitale Behördenleistungen.
- Die Technologie-Webseite Tweakers.
- Weitere Medien- und Verwaltungsplattformen.
Auch der kommunale Informationsdienst NotuBiz ist betroffen. Über diese Plattform veröffentlichen zahlreiche Gemeinden, Provinzen und weitere öffentliche Einrichtungen Sitzungsunterlagen und Verwaltungsinformationen.
Der Ausfall einer solchen Plattform betrifft damit nicht nur eine einzelne Webseite, sondern kann die digitale Informationsbereitstellung vieler kommunaler Einrichtungen gleichzeitig beeinträchtigen.
Die niederländischen Stellen begründen die Maßnahmen mit der Gefahr, dass die kritischen PHP-Schwachstellen möglicherweise zur Übernahme verwundbarer Server ausgenutzt werden könnten.
Nach den bis zum Mittag veröffentlichten Angaben hatte das niederländische NCSC noch keinen eigenen bestätigten aktiven Missbrauch festgestellt.
Quelle: NOS – Regierungs- und Bildungswebseiten wegen PHP-Sicherheitslücken offline.
Finnland: Staatlicher IT-Dienstleister Valtori schaltet Dienste ab
Auch in Finnland reagiert die staatliche Verwaltung mit weitreichenden Vorsichtsmaßnahmen.
Der staatliche IT-Dienstleister Valtori begann nach Angaben des finnischen Fachmediums Tivi am 21. Oktober um 12:45 Uhr Ortszeit damit, öffentlich erreichbare Webdienste der Zentralverwaltung kontrolliert herunterzufahren.
Valtori betreut IT-Dienstleistungen zahlreicher finnischer Behörden. Die Abschaltung soll verhindern, dass Angreifer mögliche Schwachstellen ausnutzen, bevor geeignete Sicherheitskorrekturen zur Verfügung stehen.
Gleichzeitig untersucht Valtori, ob einzelne Dienste durch zusätzliche technische Beschränkungen weiterbetrieben werden können.
Die Behörde plant, die von ihr betriebenen PHP-Anwendungen unmittelbar nach Verfügbarkeit der Sicherheitsupdates zu aktualisieren.
Nach den veröffentlichten Angaben handelt es sich ausdrücklich um eine Vorsichtsmaßnahme. Ein erfolgreicher Angriff auf die abgeschalteten Systeme wurde damit nicht bestätigt.
Quelle: Tivi – Valtori ajaa valtion verkkosivuja alas.
Auch Hochschulen und Wikimedia-Infrastruktur reagieren
Die Schutzmaßnahmen beschränken sich nicht auf staatliche Behörden.
In Finnland warnte die Tampere Universities Community, zu der die Universität Tampere und die Fachhochschule TAMK gehören, vor möglichen Abschaltungen von Onlinediensten.
Die Einrichtungen erwägen unter anderem, verwundbare Dienste zeitweise nicht öffentlich bereitzustellen oder den Zugang auf VPN-Verbindungen zu beschränken.
Auch aus anderen europäischen Hochschulen werden vorübergehende Einschränkungen bei Webseiten und digitalen Diensten gemeldet.
Eine weitere bedeutende Entwicklung betrifft die Wikimedia-Infrastruktur.
Die Wikimedia-Community dokumentiert in einem öffentlichen Incident-Bericht Wartungsmaßnahmen aufgrund des bevorstehenden PHP-Sicherheitsupdates.
Zu den vorübergehend abgeschalteten Diensten zählen unter anderem:
- Phabricator.
- Bestimmte Gerrit-CI-Dienste.
- Cloud VPS.
- Toolforge.
- translatewiki.net.
Cloud VPS und Toolforge stellen Infrastruktur für zahlreiche Anwendungen und Entwicklerprojekte im Wikimedia-Umfeld bereit. Die Auswirkungen gehen damit über einzelne Webseiten hinaus.
Quellen: Tampere Universities Community und Wikimedia Incident-Dokumentation.
Exploit-Code zu PHP-Sicherheitslücken bereits im Internet
Parallel zu den vorsorglichen Abschaltungen gibt es eine weitere alarmierende Entwicklung: Noch vor Veröffentlichung der offiziellen Sicherheitsupdates ist angeblicher Exploit-Code im Internet aufgetaucht.
Das österreichische CERT.at bestätigt in einer Aktualisierung seiner Sicherheitswarnung vom 21. Oktober, dass entsprechender Code öffentlich verfügbar ist.
Die Behörde betont allerdings ausdrücklich, dass sie dessen tatsächliche Funktionsfähigkeit bislang nicht bestätigen kann.
Damit bleibt unklar, ob die bisher veröffentlichten Angriffswerkzeuge die kritischen Schwachstellen tatsächlich zuverlässig ausnutzen können.
CERT.at warnt dennoch vor einer schnellen Verschärfung der Situation. Sobald die offiziellen Sicherheitskorrekturen veröffentlicht werden, können Angreifer versuchen, die Änderungen durch Reverse Engineering zu analysieren und daraus funktionierende Exploits abzuleiten.
Das Zeitfenster zwischen Veröffentlichung eines Sicherheitsupdates und möglichen automatisierten Angriffen könnte deshalb sehr kurz ausfallen.
Quelle: CERT.at – Bevorstehendes kritisches PHP-Sicherheitsupdate, Update vom 21. Oktober.
Cloudflare meldet erste Hinweise auf Angriffsversuche
Nach einem Bericht der Nachrichtenagentur Reuters beobachtet der Sicherheitsanbieter Cloudflare bereits erste Hinweise auf mögliche Ausnutzungsversuche.
Cloudflare-Technikchef Dane Knecht bestätigte demnach entsprechende Beobachtungen und erklärte, dass der Anbieter temporäre Schutzmaßnahmen über seine Web Application Firewall vorbereitet beziehungsweise umsetzt.
Damit besteht eine neue Risikolage: Während einige nationale Sicherheitsbehörden bislang keinen bestätigten aktiven Missbrauch festgestellt haben, berichtet ein großer Internet-Sicherheitsanbieter bereits über verdächtige Angriffsaktivität.
Diese unterschiedlichen Angaben müssen nicht im Widerspruch stehen. Sie können auf verschiedenen Beobachtungsgrundlagen und unterschiedlichen Anforderungen an die Bestätigung eines erfolgreichen Angriffs beruhen.
Ein gemeldeter Angriffsversuch bedeutet außerdem nicht automatisch, dass ein Server erfolgreich kompromittiert wurde.
Für Betreiber öffentlich erreichbarer PHP-Systeme erhöht die Entwicklung dennoch den Handlungsdruck.
CVE-2026-109618 und CVE-2026-109619: Was ist offiziell bestätigt?
Das PHP-Sicherheitsteam hat bereits am 20. Oktober 2026 die Veröffentlichung von Sicherheitskorrekturen für zwei kritische Schwachstellen angekündigt.
Beide Sicherheitsprobleme wurden offiziell mit CVSS v4.0 9,2 bewertet.
Die Kennungen CVE-2026-109618 und CVE-2026-109619 werden inzwischen auch im Sicherheitsadvisory 2026-018 von CERT-EU geführt.
Nach den bisherigen Berichten besteht das Risiko einer Remote Code Execution, bei der Angreifer unter bestimmten Voraussetzungen eigenen Programmcode auf einem entfernten Server ausführen können.
Die vollständigen technischen Einzelheiten und eine verbindliche Liste betroffener PHP-Versionen stehen jedoch weiterhin aus.
Es kursieren Angaben, wonach PHP-Versionen bis zurück zu PHP 5 betroffen sein könnten. Diese Reichweite ist bislang nicht abschließend durch die PHP-Entwickler bestätigt.
Quelle: CERT-EU Security Advisory 2026-018.
Deutscher Webhoster manitu kündigt Einschränkungen an
Auch in Deutschland reagieren erste Hosting-Unternehmen mit konkreten betrieblichen Maßnahmen.
Der Webhoster manitu informierte am 21. Oktober über kurz- und mittelfristige Wartungsmaßnahmen aufgrund der kritischen PHP-Sicherheitslage.
Nach Angaben des Unternehmens kann es dadurch zu Einschränkungen bei der Verfügbarkeit und Funktionalität von PHP kommen. Die Maßnahmen könnten mehrere Tage andauern.
Das Beispiel zeigt, dass nicht nur einzelne Webseitenbetreiber betroffen sind. Auch Shared-Hosting-Umgebungen stehen vor der Herausforderung, zahlreiche Anwendungen unterschiedlicher Kunden kurzfristig zu schützen.
Quelle: manitu – Statusmeldung zur PHP-Sicherheitslücke.
Was bedeutet das für WordPress, WooCommerce und Plesk?
PHP ist die technische Grundlage zahlreicher verbreiteter Content-Management-Systeme, Webshops und individueller Webanwendungen.
Dazu zählen WordPress, WooCommerce, Drupal, Joomla und Adobe Commerce.
Besonders relevant ist, dass ein Update des Content-Management-Systems selbst nicht automatisch die PHP-Laufzeitumgebung aktualisiert.
Auch aktuelle WordPress-Plugins und Themes ersetzen deshalb kein erforderliches Sicherheitsupdate für PHP.
Bei Plesk-Servern sollten Administratoren sämtliche verwendeten PHP-Versionen erfassen. Einzelne Domains können unterschiedliche PHP-Handler oder Versionszweige verwenden.
Entscheidend ist, welche PHP-Version tatsächlich die Webseitenanfragen verarbeitet und über welchen Anbieter entsprechende Sicherheitskorrekturen bereitgestellt werden.
Eine pauschale Aussage, dass jede WordPress-Installation angreifbar ist, lässt sich ohne die vollständigen technischen Voraussetzungen der Schwachstellen noch nicht treffen.
Was Administratoren jetzt unternehmen sollten
Bis die korrigierten PHP-Versionen bereitstehen, empfehlen nationale und europäische Sicherheitsbehörden eine möglichst weitgehende Vorbereitung.
- PHP-Installationen identifizieren: Alle produktiven Versionsstände und öffentlich erreichbaren Anwendungen erfassen.
- Backups überprüfen: Aktuelle und wiederherstellbare Datensicherungen sicherstellen.
- Server überwachen: Auffällige Webanfragen, ungewöhnliche Prozesse und mögliche Kompromittierungsindikatoren kontrollieren.
- Updates vorbereiten: Zuständige Administratoren und Wartungsfenster festlegen.
- Internet-Zugriff beschränken: Besonders gefährdete Anwendungen bei Bedarf vorübergehend isolieren.
- Sicherheitsupdates installieren: Nach Freigabe die für den jeweiligen Versionszweig geeigneten korrigierten PHP-Pakete einspielen.
- Wirksamkeit prüfen: Nach dem Update aktive PHP-FPM-Prozesse und tatsächlich verwendete Versionsstände kontrollieren.
Bei kritischen öffentlich erreichbaren Systemen kann auch eine vorübergehende Abschaltung eine vertretbare Sicherheitsmaßnahme sein, sofern keine andere wirksame Risikominderung verfügbar ist.
Eine solche Entscheidung sollte unter Berücksichtigung der tatsächlichen Exposition und der betrieblichen Folgen erfolgen.
PHP-Sicherheitsupdates um 16:00 Uhr erwartet
Das PHP-Sicherheitsteam plant die Veröffentlichung für Mittwoch, den 21. Oktober 2026, um 14:00 Uhr UTC. Das entspricht 16:00 Uhr MESZ.
Die vollständigen Angaben zu den betroffenen Versionszweigen, den technischen Ursachen und den korrigierten PHP-Versionen sollen mit diesem Release bekannt werden.
Allerdings können zwischen der Veröffentlichung durch das PHP-Projekt und der Bereitstellung entsprechender Pakete durch Linux-Distributionen oder Hosting-Anbieter zeitliche Verzögerungen entstehen.
Das österreichische CERT.at weist ausdrücklich auf dieses Risiko hin.
Betreiber sollten deshalb nicht nur die PHP-Projektseite, sondern auch die Update-Kanäle ihrer Distribution und ihres Hosting-Anbieters beobachten.
Fazit: Kritische PHP-Lücken führen bereits vor dem Patch zu europaweiten Ausfällen
Die Ereignisse vom 21. Oktober zeigen, wie gravierend die Auswirkungen einer kritischen Sicherheitswarnung sein können, noch bevor ein erfolgreicher Angriff nachgewiesen ist.
Niederländische Behörden, finnische Regierungsdienste, Hochschulen und weitere Organisationen nehmen ihre Internetangebote vorsorglich außer Betrieb, um mögliche Kompromittierungen zu verhindern.
Gleichzeitig kursiert Exploit-Code, dessen Funktionsfähigkeit bislang nicht unabhängig bestätigt ist. Cloudflare berichtet zudem über erste verdächtige Angriffsaktivitäten.
Die wichtigste nächste Entwicklung ist die Veröffentlichung der offiziellen PHP-Sicherheitsupdates.
Für Administratoren gilt: Die PHP-Infrastruktur jetzt vollständig erfassen, öffentlich erreichbare Systeme priorisieren und die offiziellen Korrekturen unmittelbar nach Verfügbarkeit installieren.
Redaktioneller Stand: 21. Oktober 2026, 14:08 Uhr MESZ. Die Veröffentlichung der Sicherheitsupdates ist für 16:00 Uhr angekündigt. Weitere Aktualisierungen folgen.
Zusätzliche Quellen zum Update vom 21. Oktober
Aus einem zunächst unbestätigten Sicherheitsgerücht ist eine offizielle Warnung geworden: Das PHP-Sicherheitsteam hat am 20. Oktober 2026 zwei kritische Sicherheitslücken bestätigt und ein außerplanmäßiges Update angekündigt. Im Mittelpunkt der bisherigen Berichterstattung stehen die Kennungen CVE-2026-109618 und CVE-2026-109619. Beide Schwachstellen werden mit möglicher Remote Code Execution (RCE) in Verbindung gebracht. Der offiziell bestätigte Schweregrad liegt bei CVSS v4.0 9,2.
Die Veröffentlichung der Sicherheitsupdates ist für Mittwoch, den 21. Oktober 2026, um 14:00 Uhr UTC vorgesehen. In Deutschland entspricht dies 16:00 Uhr MESZ. PHP-Administratoren werden ausdrücklich aufgefordert, sich auf eine zeitnahe Installation vorzubereiten.
Wichtig: Die offizielle PHP-Vorankündigung bestätigt zwei kritische Sicherheitslücken und deren Bewertung, nennt bislang aber keine CVE-Nummern, betroffenen Versionsstände oder technischen Angriffsmöglichkeiten. Die Verbindung zu CVE-2026-109618 und CVE-2026-109619 beruht auf den zuvor veröffentlichten Berichten.
Das Wichtigste im Überblick
- Sicherheitslücken: Zwei kritische Schwachstellen im PHP-Umfeld offiziell bestätigt.
- CVE-Kennungen: CVE-2026-109618 und CVE-2026-109619 werden in der Sicherheitscommunity genannt.
- Schweregrad: Offiziell jeweils CVSS v4.0 9,2 statt der zunächst gemeldeten 10,0.
- Angriffsart: Remote Code Execution (RCE) wird berichtet, technische Einzelheiten stehen aus.
- Patch-Termin: 21. Oktober 2026, 16:00 Uhr MESZ.
- Betroffene Versionen: Noch nicht offiziell bekannt gegeben.
- Handlungsempfehlung: PHP-Installationen erfassen, Backups prüfen und Sicherheitsupdates vorbereiten.
PHP-Sicherheitsteam bestätigt zwei kritische Schwachstellen
Am 20. Oktober veröffentlichte das PHP-Sicherheitsteam auf der offiziellen Projektwebseite eine Vorankündigung unter dem Titel „Upcoming Critical PHP Security Release“.
Darin kündigen die Entwickler für den folgenden Tag eine Sicherheitsveröffentlichung an, mit der zwei kritische Schwachstellen behoben werden sollen. Beide Sicherheitsprobleme erhalten eine Bewertung von 9,2 Punkten nach CVSS v4.0.
Das Team fordert PHP-Nutzer dazu auf, sich bereits vor der Veröffentlichung auf ein Update vorzubereiten. Außerdem behält sich das Projekt vor, die Korrekturen früher freizugeben, sollten technische Details vorzeitig bekannt werden oder Hinweise auf aktive Angriffe auftauchen.
Die vollständigen technischen Informationen, betroffenen Versionen und korrigierten Releases sollen erst mit der eigentlichen Veröffentlichung bereitgestellt werden.
Quelle: PHP.net – Upcoming Critical PHP Security Release vom 20. Oktober 2026.
CVE-2026-109618 und CVE-2026-109619: Wie begann die Warnung?
Die öffentliche Diskussion begann zunächst mit einem Beitrag auf Hacker News. Ein Nutzer mit dem Namen „petecooper“ berichtete unter Berufung auf eine angeblich zuverlässige Quelle von zwei bevorstehenden PHP-Sicherheitsmeldungen.
Seiner Darstellung zufolge sollten zwei Schwachstellen die Ausführung fremden Programmcodes auf PHP-Servern ermöglichen. Als Schweregrad nannte er jeweils CVSS 10,0 und führte die Kennungen CVE-2026-109618 und CVE-2026-109619 an.
Der ursprüngliche Beitrag nannte den 22. Oktober 2026 als erwarteten Veröffentlichungstermin. Allerdings räumte der Verfasser selbst ein, keine überprüfbaren Beweise vorlegen zu können.
Der Beitrag wurde später auf Hacker News als „flagged“ markiert. Eine solche Kennzeichnung lässt für sich genommen keine Aussage darüber zu, ob die behaupteten Sicherheitslücken tatsächlich existieren.
Mit der offiziellen PHP-Mitteilung vom 20. Oktober hat sich die Ausgangslage grundlegend verändert: Die Existenz zweier kritischer, zur Behebung vorgesehener Sicherheitsprobleme ist bestätigt. Nicht bestätigt ist bislang, ob sämtliche im ursprünglichen Beitrag genannten Einzelheiten zutreffen.
Originalquelle: Hacker News – Tell HN: 2x PHP RCE CVEs with CVSS 10.0 Incoming.
Sicherheitsforscher und watchTowr: Embargo offenbar vorzeitig gebrochen
Nach Berichten aus der IT-Sicherheitscommunity wurden Informationen zu den Schwachstellen bereits vor ihrer geplanten Offenlegung weitergegeben.
Der Sicherheitsforscher Florian Roth soll öffentlich auf eine kritische Remote-Code-Execution-Schwachstelle im PHP-Kern hingewiesen haben. Dabei wurde zunächst ein maximaler CVSS-Wert von 10,0 genannt.
Auch das Sicherheitsunternehmen watchTowr äußerte sich nach vorliegenden Berichten zu den unter Embargo stehenden Sicherheitslücken. Demnach waren Informationen offenbar bereits vor dem ursprünglich vorgesehenen Veröffentlichungszeitpunkt bekannt geworden.
Weitere Berichte nennen das Sicherheitsunternehmen Previdian, das die Schwachstellen angeblich reproduziert haben soll.
Diese Aussagen sind von der offiziellen PHP-Sicherheitsmeldung zu unterscheiden. Solange keine nachvollziehbaren technischen Analysen oder Herstellerinformationen veröffentlicht sind, lassen sich Details zur Ausnutzbarkeit nicht unabhängig bewerten.
Fest steht allerdings, dass das PHP-Projekt selbst auf die Möglichkeit einer vorzeitigen Veröffentlichung reagiert: Sollten Informationen öffentlich werden oder aktive Angriffe festgestellt werden, können die Sicherheitskorrekturen bereits vor dem angekündigten Termin erscheinen.
Warum ist CVSS 9,2 so gefährlich?
Der offiziell bestätigte CVSS-v4.0-Wert von 9,2 entspricht der Einstufung „kritisch“.
CVSS, das Common Vulnerability Scoring System, dient der standardisierten Bewertung technischer Sicherheitsrisiken. Der Wert allein beschreibt allerdings noch nicht sämtliche Bedingungen, unter denen eine Schwachstelle ausgenutzt werden kann.
Die anfänglich kursierende Bewertung von 10,0 ist deshalb nicht mit der offiziellen Herstellerangabe gleichzusetzen. Zudem müssen beim Vergleich von CVSS-Werten die jeweils verwendeten Versionen des Bewertungssystems berücksichtigt werden.
Besonders gefährlich wären die Schwachstellen, wenn Angreifer sie über das Netzwerk ohne vorherige Anmeldung ausnutzen könnten. Ob dies bei CVE-2026-109618 und CVE-2026-109619 tatsächlich möglich ist, muss die technische Offenlegung zeigen.
Remote Code Execution: Was würde ein erfolgreicher Angriff bedeuten?
Remote Code Execution bezeichnet eine Sicherheitslücke, über die ein Angreifer fremden Programmcode auf einem entfernten System ausführen kann.
Bei einer verwundbaren PHP-Laufzeitumgebung könnten die möglichen Auswirkungen erheblich sein. Abhängig von der konkreten Schwachstelle und den Berechtigungen des betroffenen Prozesses wären beispielsweise folgende Folgen denkbar:
- Ausführen unerwünschter Befehle auf dem Webserver.
- Zugriff auf Konfigurationsdateien und sensible Anwendungsdaten.
- Auslesen von Datenbank-Zugangsdaten oder API-Schlüsseln.
- Manipulation von Webseiten und gespeicherten Informationen.
- Installation zusätzlicher Schadsoftware.
- Missbrauch des kompromittierten Systems für weitere Angriffe.
Diese Szenarien beschreiben die grundsätzlichen Risiken einer Remote-Code-Execution-Schwachstelle. Sie sind bislang kein Nachweis dafür, dass alle genannten Angriffsmöglichkeiten bei den aktuellen PHP-Sicherheitslücken bestehen.
Welche PHP-Versionen sind betroffen?
Eine der wichtigsten offenen Fragen betrifft die Reichweite der Sicherheitsprobleme.
In ersten Berichten wird behauptet, dass ältere PHP-Versionen bis zurück zu PHP 5 betroffen sein könnten. Teilweise wird sogar PHP 6 genannt, das allerdings nie als reguläre stabile Hauptversion veröffentlicht wurde.
Gleichzeitig kursiert die Behauptung, dass Sicherheitskorrekturen nur für PHP-Versionen ab Version 8 bereitgestellt werden sollen.
Beide Angaben sind derzeit unbestätigt. Das PHP-Sicherheitsteam hat ausdrücklich angekündigt, die betroffenen und korrigierten Versionen erst mit dem Release zu nennen.
Grundsätzlich gilt unabhängig von diesem Vorfall: Nicht mehr unterstützte PHP-Versionen stellen ein erhöhtes Betriebsrisiko dar. Für solche Versionen werden vom offiziellen PHP-Projekt in der Regel keine neuen Sicherheitskorrekturen mehr bereitgestellt.
Einzelne Linux-Distributionen oder kommerzielle Anbieter können allerdings eigene Sicherheitskorrekturen für ältere Versionsstände zurückportieren. Deshalb ist neben der PHP-Versionsnummer auch die Herkunft des installierten Pakets entscheidend.
WordPress, WooCommerce, Drupal und Adobe Commerce: Wer wäre gefährdet?
PHP gehört zu den zentralen Technologien des heutigen Webs. Millionen dynamischer Webseiten und zahlreiche bekannte Content-Management- und Shopsysteme verwenden PHP als serverseitige Programmiersprache.
Dazu zählen unter anderem:
- WordPress und darauf aufbauende Webseiten.
- WooCommerce-Onlineshops.
- Drupal-Installationen.
- Joomla-Webseiten.
- Adobe Commerce beziehungsweise Magento-basierte Shops.
- Individuell entwickelte PHP-Anwendungen.
Auch größere Internetplattformen setzen PHP oder darauf aufbauende Technologien ein.
Besonders weitreichend wäre eine Sicherheitslücke, wenn sie unmittelbar eine häufig genutzte Funktion der PHP-Laufzeitumgebung beträfe und ohne besondere Voraussetzungen über normale Webanfragen ausnutzbar wäre.
Ein solcher Fehler könnte Anwendungen potenziell auch dann betreffen, wenn deren eigener Programmcode keine entsprechende Schwachstelle enthält.
Allerdings steht noch nicht fest, welche Funktionen betroffen sind und unter welchen Bedingungen ein Angriff möglich wäre.
Die Verwendung von PHP allein bedeutet daher noch nicht, dass ein Webserver durch die gemeldeten Schwachstellen kompromittiert werden kann.
Besonders relevant für Plesk und Hosting-Anbieter
Für Webhosting-Unternehmen und Administratoren von Plesk-Servern dürfte die angekündigte Veröffentlichung besonders relevant werden.
Auf einem einzigen Hosting-Server können zahlreiche Domains mit unterschiedlichen PHP-Versionen betrieben werden. Je nach Konfiguration kommen verschiedene PHP-Handler, PHP-FPM-Pools und Betriebssystempakete zum Einsatz.
Das erschwert die schnelle Bewertung, welche Webseiten von einer neuen Schwachstelle betroffen sein könnten.
Administratoren sollten daher bereits vor der Veröffentlichung prüfen, welche PHP-Versionen tatsächlich produktiv verwendet werden und über welchen Update-Kanal diese aktualisiert werden.
Bei Plesk ist insbesondere zwischen den vom Panel bereitgestellten PHP-Versionen und den PHP-Paketen der jeweiligen Linux-Distribution zu unterscheiden.
Ein PHP-Update kann außerdem Auswirkungen auf Erweiterungen oder die Kompatibilität älterer Anwendungen haben. Sicherheitskritische Aktualisierungen sollten deshalb vorbereitet und anschließend gezielt auf Funktion geprüft werden.
Was sollten Administratoren vor dem 21. Oktober tun?
Das PHP-Sicherheitsteam empfiehlt ausdrücklich, die Systeme jetzt auf eine kurzfristige Aktualisierung vorzubereiten. Die wichtigsten Maßnahmen lassen sich bereits ohne Kenntnis der technischen Schwachstellendetails umsetzen.
1. Installierte PHP-Versionen erfassen
Alle produktiv genutzten PHP-Versionen sollten dokumentiert werden. Bei Servern mit mehreren Webseiten reicht es nicht aus, nur die Standardversion des Betriebssystems zu überprüfen.
2. Backups und Wiederherstellung prüfen
Vor sicherheitskritischen Änderungen sollten aktuelle Datensicherungen vorhanden sein. Entscheidend ist auch, ob diese im Ernstfall tatsächlich wiederhergestellt werden können.
3. Update-Kanäle kontrollieren
Administratoren sollten sicherstellen, dass die Paketquellen des Betriebssystems und gegebenenfalls die Plesk-Repositories erreichbar sind und Sicherheitsaktualisierungen zeitnah bereitgestellt werden können.
4. Veraltete PHP-Versionen identifizieren
Webseiten, die noch nicht mehr unterstützte PHP-Versionen verwenden, sollten besonders sorgfältig betrachtet werden. Bei fehlender Unterstützung kann ein Umstieg auf einen aktuellen Versionszweig notwendig werden.
5. Sicherheitsinformationen beobachten
Nach Veröffentlichung der offiziellen Informationen muss geprüft werden, welche Versionen betroffen sind, welche Korrekturen zur Verfügung stehen und ob zusätzliche Schutzmaßnahmen erforderlich sind.
6. Sicherheitsupdates zeitnah installieren
Die Installation sollte nach Verfügbarkeit der passenden Pakete möglichst kurzfristig erfolgen. Nach dem Update müssen die aktiven PHP-Prozesse gegebenenfalls neu gestartet und die tatsächlich geladenen Versionsstände überprüft werden.
Von ungeprüften Drittanbieter-Patches oder vermeintlichen Notfalllösungen aus unbekannten Quellen ist abzuraten.
Drohen unmittelbar nach der Veröffentlichung Angriffe?
Bei kritischen Sicherheitslücken in weit verbreiteter Serversoftware können technische Veröffentlichungen schnell die Aufmerksamkeit von Angreifern auf sich ziehen.
Sobald ausreichende Informationen über einen Fehler vorliegen, können Sicherheitsforscher und Angreifer versuchen, die Schwachstelle nachzuvollziehen und automatisierte Prüfungen zu entwickeln.
In der Sicherheitscommunity wird deshalb über die Möglichkeit diskutiert, dass nach einer technischen Offenlegung rasch erste Angriffsversuche auftreten könnten.
Ob bereits konkrete Exploits für CVE-2026-109618 oder CVE-2026-109619 existieren oder Angriffe stattfinden, ist auf Grundlage der bisher veröffentlichten Informationen nicht belegt.
Das PHP-Sicherheitsteam hat ausdrücklich erklärt, bei Hinweisen auf aktive Ausnutzung gegebenenfalls früher als geplant zu reagieren.
Wann erscheinen die PHP-Sicherheitsupdates?
Die Veröffentlichung ist offiziell für Mittwoch, den 21. Oktober 2026 um 14:00 Uhr UTC beziehungsweise 16:00 Uhr MESZ, vorgesehen.
Dieser Termin ersetzt die zunächst in der Sicherheitscommunity verbreitete Erwartung einer Veröffentlichung am 22. Oktober.
Mit dem Sicherheitsrelease sollen insbesondere folgende Informationen verfügbar werden:
- Die genauen technischen Ursachen der Schwachstellen.
- Die offiziell zugeordneten CVE-Kennungen.
- Betroffene PHP-Versionen und Konfigurationen.
- Versionsstände mit den enthaltenen Sicherheitskorrekturen.
- Gegebenenfalls weitere Empfehlungen zur Risikominderung.
Ob die Veröffentlichung wie angekündigt erfolgt oder wegen neuer Entwicklungen vorgezogen wird, bleibt abzuwarten.
Fazit: Kritische PHP-Sicherheitslücken offiziell bestätigt – Details folgen
Die Situation hat sich innerhalb weniger Stunden deutlich verändert. Während die ersten Berichte zu CVE-2026-109618 und CVE-2026-109619 noch auf einer nicht überprüfbaren Quelle beruhten, hat das PHP-Sicherheitsteam inzwischen offiziell zwei kritische Sicherheitsprobleme bestätigt.
Der Schweregrad von jeweils CVSS v4.0 9,2 unterstreicht die Dringlichkeit der angekündigten Korrekturen.
Die Behauptungen über eine Remote Code Execution, eine Betroffenheit zahlreicher älterer PHP-Versionen und die genauen Angriffsvoraussetzungen müssen jedoch weiterhin anhand der offiziellen technischen Veröffentlichung überprüft werden.
Für Administratoren gilt: Jetzt vorbereiten, die offiziellen Sicherheitsinformationen verfolgen und die passenden Updates nach deren Freigabe schnellstmöglich installieren.
Rohtext.de beobachtet die Entwicklung und wird diesen Beitrag aktualisieren, sobald die Sicherheitsupdates veröffentlicht werden und weitere verifizierte Informationen vorliegen.
Stand: 20. Oktober 2026. Die offizielle Sicherheitsvorankündigung bestätigt zwei kritische PHP-Schwachstellen mit CVSS v4.0 9,2. Vollständige technische Informationen stehen noch aus.
Quellen und weiterführende Informationen
