In der weitverbreiteten Programmiersprache PHP sind kritische Schwachstellen entdeckt worden, die Webanwendungen weltweit gefährden könnten. Die Lücken könnten es Angreifern ermöglichen, Schadcode auf verwundbaren Webservern auszuführen, warnt unter anderem das deutsche Bundesamt für Sicherheit in der Informationstechnik (BSI).

Die Entwickler wollen die Patches am 21. Oktober um 16 Uhr Schweizer Zeit bereitstellen. Das BSI ruft IT-Sicherheitsverantwortliche und Betreiber dazu auf, die angekündigten Sicherheitsupdates umgehend nach deren Veröffentlichung einzuspielen. Organisationen sollten bereits vor der Veröffentlichung sicherstellen, dass die notwendigen personellen Ressourcen für die Aktualisierung ihrer PHP-Webserver bereitstehen. Es bestehe unmittelbarer Handlungsbedarf.

Nach Angaben der Behörde sind alle bekannten PHP-Versionen betroffen, zurückgehend bis mindestens PHP 5. Derzeit lasse sich nicht ausschliessen, dass Angreifer die Schwachstellen aus der Ferne ausnutzen könnten, um Schadcode auf Webservern mit PHP-Anwendungen auszuführen. Da PHP weltweit für Webanwendungen eingesetzt wird, könnten erfolgreiche Angriffe zahlreiche IT-Systeme in unterschiedlichen Anwendungsbereichen gefährden.

Das BSI warnt insbesondere vor einer schnellen Verbreitung möglicher Angriffe nach der Veröffentlichung der Sicherheitsupdates. "Wir halten eine kurzfristige, grossflächige Ausnutzung innerhalb weniger Stunden nach Erscheinen der Sicherheitsupdates für wahrscheinlich", sagt BSI-Vizepräsident Thomas Caspers. Angreifer könnten die veröffentlichten Patches mithilfe KI-gestützter Werkzeuge analysieren und daraus in kurzer Zeit passende Exploits entwickeln.

Nach der Veröffentlichung sollen die Sicherheitsupdates umgehend installiert werden. Anschliessend empfiehlt das BSI, anhand der offiziellen Sicherheitshinweise zu überprüfen, ob die betroffenen Systeme vollständig aktualisiert wurden. Betreiber sollen öffentlich erreichbare PHP-Webserver zudem verstärkt auf Auffälligkeiten überwachen.

Weitere technische Einzelheiten zu den Schwachstellen und den verfügbaren Korrekturen sollen mit der Veröffentlichung der Updates bekannt werden.

Update um 16.50 Uhr: Die Entwicklerinnen und Entwickler haben die angekündigten Sicherheitsupdates veröffentlicht und empfehlen, diese umgehend zu installieren. Die Updates PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35 schliessen die Lücken CVE-2026-109618 und CVE-2026-109619. Betroffen sind laut Mitteilung PHP-Installationen, die Webanfragen verarbeiten. Besonders gefährdet sei der Betrieb mit Apache und mod_php. Auch PHP-FPM, php-cgi, FrankenPHP und Litespeed seien betroffen.

Die erste Schwachstelle betrifft gemäss Advisory die Fehlerbehandlung bei Speichermangel: Wird PHP während der Verarbeitung einer Anfrage unterbrochen, können interne Daten unvollständig initialisiert sein. Bei der anschliessenden Bereinigung könnten diese fehlerhaften Daten zu einer Sicherheitslücke führen. Die zweite Lücke entstehe, wenn interne Zustände einer Anfrage nach der Freigabe des zugehörigen Speichers erhalten blieben und bei einer späteren Anfrage erneut verwendet würden.

Linux-Distributionen und LTS-Anbieter hätten die Patches vorab erhalten. Betreiber sollten deshalb auch die Verfügbarkeit aktualisierter Pakete für ihre Systeme prüfen. Für PHP 8.1 und ältere Versionen gebe es vom PHP-Projekt keine regulären Sicherheitsupdates mehr.

Um sich zu schützen, haben der Schweizer Geschäftsdienst Bexio und der Hosting-Anbieter Cyon ihre Dienste vorübergehend eingeschränkt. Bexio hat seinen Dienst nach eigenen Angaben vorsorglich heruntergefahren, um sich auf die Installation des Sicherheitsupdates zu konzentrieren. Das Unternehmen teilte mit, dass die Daten sicher seien und das Update voraussichtlich noch am selben Tag durchgeführt werden könne.

Auch Cyon kündigte in einem Kundenschreiben an, PHP am 21. Oktober auf seinen Servern vorübergehend abzuschalten, bis die Sicherheitskorrektur überall installiert sei. Dadurch seien Websites und damit verbundene Funktionen wie Kontaktformulare, Bestellungen und Cronjobs vorübergehend nicht erreichbar, heisst es im Schreiben. E-Mail-Dienste sollten hingegen normal weiterlaufen.