PHP-Sicherheitsupdate soll zwei kritische Lücken schließen

Das PHP-Sicherheitsteam hat ein PHP-Sicherheitsupdate für zwei kritische Schwachstellen angekündigt. Unternehmen sollten ihre PHP-Anwendungen erfassen und die Aktualisierung vorbereiten, sobald korrigierte Versionen vorliegen. Beide Lücken bewertet das Team mit jeweils 9,2 Punkten nach CVSS v4.0.

Für IT-Verantwortliche rückt damit die kurzfristige Abstimmung zwischen Betrieb, Anwendungsbetreuung und Hosting-Dienstleistern in den Mittelpunkt. Ein vorbereitetes, risikobasiertes Patch-Management hilft, Zuständigkeiten und Freigaben vor der Bereitstellung zu klären. Welche Installationen tatsächlich betroffen sind, lässt sich anhand der bisherigen PHP-Ankündigung allerdings noch nicht abschließend bestimmen. (Stand der Vorankündigung: 21. Oktober 2026)

PHP-Sicherheitsupdate: Was bestätigt das Sicherheitsteam?

Das Update ist für den 21. Oktober 2026 um 14 Uhr UTC angekündigt. In Deutschland entspricht das 16 Uhr MESZ. Das Sicherheitsteam fordert PHP-Nutzer auf, sich auf eine zeitnahe Aktualisierung vorzubereiten. Eine vorgezogene Veröffentlichung bleibt möglich, falls technische Einzelheiten öffentlich werden oder Hinweise auf aktive Ausnutzung auftauchen.

Die Ankündigung bestätigt zwei kritische Schwachstellen, beschreibt deren technische Ursachen jedoch noch nicht. Auch eine Liste betroffener Versionen und die Nummern der korrigierten Ausgaben fehlen bislang. Diese Informationen will das PHP-Team zusammen mit dem Sicherheitsupdate veröffentlichen.

Für den IT-Betrieb ergibt sich daraus eine klare Trennung: Die Vorbereitung kann bereits beginnen. Die Auswahl der erforderlichen Aktualisierung muss sich anschließend auf die veröffentlichten Herstellerangaben stützen. Ein angekündigter Veröffentlichungstermin allein belegt noch keine Verfügbarkeit korrigierter Pakete.

Welche PHP-Versionen sind betroffen?

In öffentlichen Berichten kursiert die Aussage, sämtliche PHP-Versionen ab PHP 5 seien betroffen. Der Sicherheitsanbieter watchTowr führt diese Angabe auf einen unbestätigten Bericht zurück. Eine entsprechende Bestätigung des PHP-Projekts liegt in der geprüften Ankündigung nicht vor.

Unternehmen sollten deshalb weder pauschal jede Installation als nachweislich verwundbar einstufen noch einzelne Systeme vorschnell ausschließen. Für eine belastbare Bewertung fehlen derzeit insbesondere die bestätigten Versionsgrenzen und mögliche Voraussetzungen der Ausnutzung.

Als Vorbereitung bietet sich eine Übersicht der eingesetzten PHP-Laufzeitumgebungen an. Erfassen Sie dabei Version, Anwendung, Betriebsverantwortliche und Bezugsquelle der Updates. Halten Sie außerdem fest, welche Dienste öffentlich erreichbar sind und wer die technische Aktualisierung übernehmen kann. Diese Angaben erleichtern später den Abgleich mit dem offiziellen Sicherheitshinweis.

Was ist über PHP2Shell und mögliche Angriffe bekannt?

Unter dem Namen PHP2Shell kursieren Meldungen über mögliche Codeausführung aus der Ferne. watchTowr nennt dazu die Kennungen CVE-2026-109618 und CVE-2026-109619, kennzeichnet wesentliche Angaben zum Umfang und zur technischen Ursache jedoch als unbestätigt.

Auch CERT-EU greift die Berichte auf. Die mögliche Ausführung fremden Codes ordnet die Stelle ausdrücklich im Zusammenhang mit geleakten Informationen ein. Damit bestätigt die Warnung den Handlungsbedarf zur Vorbereitung, ersetzt aber keine technische Beschreibung durch das PHP-Projekt.

watchTowr berichtet zum dort dokumentierten Stand über keine gemeldete aktive Ausnutzung. Diese Aussage ist zeitgebunden und bedeutet keine Entwarnung. Ebenso lassen sich aus den bisher geprüften Angaben keine verlässlichen Aussagen über konkrete Angriffsvoraussetzungen oder einen allgemein wirksamen Workaround ableiten.

Wie bereiten Unternehmen die Aktualisierung vor?

CERT-EU empfiehlt, PHP-basierte Anwendungen zu identifizieren und das Einspielen verfügbarer Korrekturen vorzubereiten. Falls eine zeitnahe Behebung nicht möglich ist, sollten Organisationen die vorübergehende Isolation öffentlich erreichbarer Anwendungen erwägen.

Für mittelständische Unternehmen lässt sich daraus folgender Ablauf ableiten:

• Zuständigkeit klären: Wer stellt das Update bereit, wer installiert es und wer bestätigt den Abschluss?
• Bereitstellung abstimmen: Fragen Sie Hosting- und Betriebsdienstleister nach ihrem vorgesehenen Verfahren.
• Prüfung vorbereiten: Legen Sie fest, welche geschäftskritischen Funktionen nach der Aktualisierung kontrolliert werden.
• Ergebnis dokumentieren: Halten Sie den installierten Stand sowie noch offene Systeme nachvollziehbar fest.

Diese Schritte sind betriebliche Vorbereitung und keine bestätigten Schutzmaßnahmen gegen die konkreten Schwachstellen. Technische Änderungen sollten sich auf belastbare Herstellerinformationen stützen. Weitere Einordnungen zu Schwachstellen und betrieblichen Schutzmaßnahmen bündelt der Bereich Cybersecurity im Unternehmen.

Das angekündigte PHP-Sicherheitsupdate macht vor allem kurze Abstimmungswege erforderlich. Wer Bestand und Verantwortlichkeiten bereits geklärt hat, kann die veröffentlichten Versionsangaben schneller prüfen und notwendige Aktualisierungen gezielt umsetzen.

Quellen: PHP: Upcoming Critical PHP Security Release, CERT-EU: Critical Vulnerabilities in PHP, watchTowr: PHP Remote Code Execution FAQ