Die Sicherheitsanfälligkeiten, die als CVE-2026-109618 und CVE-2026-109619 verfolgt werden, könnten es Angreifern ermöglichen, bösartigen Code auf anfälligen Servern ohne Authentifizierung aus der Ferne auszuführen. Das PHP-Sicherheitsteam gab am 21. Oktober 2026 um 13:40 UTC Updates heraus. Vollständige technische Details dieser Updates sowie die betroffenen und die festen Versionen begleiten die Veröffentlichung.
PHP-Sicherheitshinweise finden Sie unter: https://www.php.net/archive/2026.php
Organisationen sollten ihre PHP-basierten Anwendungen identifizieren, sich mit Hosting- und Service-Providern abstimmen und die veröffentlichten Sicherheitsupdates anwenden. Priorisierung von internetorientierten Systemen. Wenn eine sofortige Behebung nicht möglich ist, sollten Sie in Betracht ziehen, exponierte Anwendungen von öffentlichen Netzwerken zu isolieren, bis Korrekturen vorgenommen werden können.
Viele kommerzielle und Open-Source-Produkte setzen im Hintergrund auf PHP. Infolgedessen können einige von diesen Sicherheitsanfälligkeiten betroffen sein, auch wenn sie PHP nicht direkt zu verwenden scheinen. Wir empfehlen, das NCSC-NL GitHub-Repository auf Informationen über Software von Drittanbietern zu überprüfen, die PHP enthält und möglicherweise betroffen ist: https://github.com/NCSC-NL/php2shell
Die neuesten von den Mitgliedern des CSIRTs-Netzwerks veröffentlichten Hinweise finden Sie in ihren jeweiligen offiziellen Kommunikationskanälen. Organisationen können sich auch auf Leitlinien des CERT-EU beziehen. Die ENISA unterhält eine Beratungssammlung unter: https://github.com/enisaeu/CNW/blob/main/advisories/2026/CNW-2026-04_php.md
Die ENISA und alle einschlägigen EU-Akteure werden diese Bedrohung weiterhin überwachen, um zur allgemeinen Lageerfassung auf Unionsebene beizutragen.
EU-Politik
Die Organisationen sollten sich ferner darüber im Klaren sein, dass Hersteller von Hard- und Softwareprodukten ab dem 11. September 2026 aktiv ausgenutzte Schwachstellen über die zentrale Meldeplattform für Ratingagenturen gemäß der Verordnung (EU) 2024/2847 (Cyberresilienzverordnung) melden müssen. Weitere Informationen sind abrufbar unter: https://digital-strategy.ec.europa.eu/en/policies/cra-reporting und https://www.enisa.europa.eu/topics/product-security/vulnerability-services/eu-incident-response-and-cyber-crisis-management/single-reporting-platform-srp
Die wichtigsten Cybersicherheitsanforderungen des Cyberresilienzgesetzes (CRA) gelten ab dem 11. Dezember 2027. Dadurch werden die Hersteller von Hard- und Softwareprodukten („Produkte mit digitalen Elementen“) verpflichtet, Sicherheitskonzepte zu implementieren und während des Lebenszyklus solcher Produkte Sicherheitsunterstützung zu gewährleisten, einschließlich der unverzüglichen Behebung von Schwachstellen.
Last update
22 Oktober 2026