Warum es Sie interessieren sollte, ob Sie ein KMU oder ein Selbstständiger im Technologiesektor sind
Wenn Ihr Online-Geschäft, Ihr E-Commerce-Shop oder Ihre Unternehmenswebsite PHP (Hypertext Preprocessor) verwendet, beschäftigt Sie die Frage, was als nächstes kommt, dringend. PHP ist die am häufigsten verwendete Programmiersprache in der Webentwicklung und auf rund 70 % der Websites im Internet vorhanden (apnews.com). Es wurden zwei äußerst schwerwiegende Schwachstellen identifiziert, die auf der CVSS-Skala (Common Vulnerability Scoring System) v4.0 mit einem Wert von 9,2 in die Kategorie „kritisch“ eingestuft werden (gub.uy).
Diese Fehler beeinträchtigen die grundlegende PHP-Kernfunktionalität und ermöglichen es Angreifern, Remotecode ohne Authentifizierung auszuführen. In der Praxis könnten sie auf Ihre Server zugreifen oder Ihre Inhalte ändern, ohne dass Sie es rechtzeitig bemerken. Aus diesem Grund hat die PHP Foundation dringend dazu aufgerufen, die Patches sofort anzuwenden (apnews.com).
Kontext und technische Details der Fehler
Die offizielle Ankündigung erfolgte am 20. Oktober 2026, als das PHP-Sicherheitsteam warnte, dass am folgenden Dienstag, dem 21. Oktober um 14:00 UTC, ein Notfallupdate veröffentlicht werde, um die als CVE-2026-109618 und CVE-2026-109619 identifizierten Fehler zu beheben (discourse.thephp.foundation). Beide Fehler wurden auf der CVSS v4.0-Skala mit 9,2 von 10 bewertet (tenable.com)
CVE-2026-109618 (OOM-Beschädigung): Nutzt die Art und Weise aus, wie PHP mit Fehlern wegen unzureichendem Arbeitsspeicher umgeht. Eine anschließende Bereinigung kann unvollständige Daten als gültig interpretieren, was zu Speicherbeschädigungen und der Ausführung von Schadcode führt (tenable.com).
CVE-2026-109619 (Stale Global State): Dies ist ein Use-After-Free-Fehler. Reste des globalen Status einer vorherigen Anfrage können von einem Worker wiederverwendet werden, um in einer nachfolgenden Anfrage Schadcode auszuführen (zaproxy.org).
Diese Schwachstellen betreffen alle Installationen, die Webanfragen bedienen: PHP-FPM, Apache mit mod_php, php-cgi, FrankenPHP, LiteSpeed usw. (tenable.com). Der informelle Name für die Suite ist PHP2Shell (es.wikipedia.org).
Praktische Implikationen für Kleinunternehmen und Selbstständige
Die Ausnutzung dieser Art von Schwachstelle ermöglicht es Angreifern, Code auf Ihren Servern auszuführen, ohne dass Anmeldeinformationen erforderlich sind. Das bedeutet, dass sie Hintertüren einfügen, Malware installieren, Ihre Website ändern oder Informationen stehlen könnten. Das Ausmaß des Problems ist groß: Viele Websites, von Standardportalen bis hin zu WordPress, Drupal, PrestaShop oder Moodle, könnten von gub.uy betroffen sein
Organisationen wie CISA (US-amerikanische Cybersicherheitsbehörde) haben dringende Warnungen herausgegeben, um diese Schwachstellen zu beheben oder, falls dies nicht möglich ist, die betroffenen Systeme zu isolieren, bis die Lösung angewendet wird (content.govdelivery.com). In Europa und anderen Ländern haben mehrere nationale CERTs ähnliche Mitteilungen herausgegeben (elpais.com).
Empfohlene Schritte zum Schutz Ihrer Website
Wir empfehlen die folgenden Schritte, um Risiken zu minimieren und die Sicherheit wiederherzustellen:
- Identifizieren Sie Systeme, die PHP verwenden: Überprüfen Sie Server, Hosting und Komponenten, auf denen möglicherweise anfällige PHP-Inhalte ausgeführt werden.govdelivery.com
- Update auf gepatchte Versionen: Die Versionen, die die Fehler beheben, sind PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35 (content.govdelivery.com).
- Wenn Sie nicht sofort aktualisieren können: Beschränken Sie vorübergehend den Zugriff aus dem Internet, verwenden Sie Web Application Firewalls (WAFs) oder private Netzwerke und überwachen Sie verdächtige Prozesse
- content.govdelivery.com
- Starten Sie die Dienste nach der Aktualisierung neu: Stellen Sie sicher, dass Sie PHP-FPM, Apache usw. neu starten, da sonst alte Binärdateien möglicherweise weiterhin auf reddit.com funktionieren.
- Achten Sie auf Anzeichen einer möglichen Ausnutzung: z. B. unerwartete Shells, nicht autorisierte Downloads, Dateiänderungen oder seltsames Verhalten von content.govdelivery.com
Fazit
Diese beiden kritischen Fehler in PHP – CVE-2026-109618 und CVE-2026-109619 – stellen eine echte Bedrohung für jede exponierte Website dar. Die Anwendung der offiziellen Patches, die ab dem 21. Oktober 2026 verfügbar sind, muss Priorität haben, um die Kontinuität Ihrer digitalen Aktivitäten zu gewährleisten. Bei CADT Software können wir Ihnen helfen, Ihre Umgebung zu überprüfen, Updates anzuwenden und die Sicherheit Ihrer Webanwendungen zu erhöhen. Lassen Sie nicht zu, dass eine ungepatchte Schwachstelle Ihr Projekt gefährdet, und kontaktieren Sie uns, um effektiv und schnell zu handeln.
