Kritische PHP-Sicherheitslücken – was Unternehmen jetzt tun sollten
PHP-Systeme prüfen und Sicherheitsupdates installieren
Das Bundesamt für Cybersicherheit warnt vor zwei kritischen Schwachstellen in PHP. Sicherheitsupdates sind verfügbar. Unternehmen sollten mit ihrem IT- oder Hosting-Partner klären, ob ihre Websites, Anwendungen und Geräte abgesichert sind.
Die Website ist erreichbar, das Kundenportal funktioniert und Bestellungen treffen ein. Das sagt allerdings wenig darüber aus, ob die technische Grundlage ausreichend geschützt ist.
Bei der aktuellen PHP-Warnung lohnt sich deshalb ein genauer Blick: Welche Systeme verwenden PHP und wer kümmert sich um deren Aktualisierung?
Was ist passiert?
Die Schwachstellen CVE-2026-109618 und CVE-2026-109619 können es Angreifern ermöglichen, ohne Anmeldung Schadcode auf betroffenen Servern auszuführen. Das BACS empfiehlt, verfügbare Sicherheitsupdates unverzüglich einzuspielen.
Quelle: BACS – Kritische Schwachstellen in PHP
Welche Systeme sollten geprüft werden?
Neben öffentlich erreichbaren Websites sind auch interne Anwendungen, Verwaltungsoberflächen, Container und Geräte mit integrierten PHP-Komponenten zu berücksichtigen.
Das BACS empfiehlt, aus dem Internet erreichbare Systeme und Anwendungen mit besonders schützenswerten Daten oder kritischen Geschäftsprozessen zu priorisieren.
Für Ihr Unternehmen bedeutet das: Beziehen Sie auch externe Anbieter ein. Lassen Sie klären, welche Ihrer Angebote PHP verwenden und wer für die Wartung verantwortlich ist.
Welche Sicherheitsupdates sind verfügbar?
Die beiden Schwachstellen wurden mit folgenden PHP-Versionen behoben:
PHP 8.2 → Sicherheitsrelease 8.2.35
PHP 8.3 → Sicherheitsrelease 8.3.36
PHP 8.4 → Sicherheitsrelease 8.4.27
PHP 8.5 → Sicherheitsrelease 8.5.12
Betriebssystem- und Produktanbieter können die Korrekturen auch in bestehende Pakete übernehmen. Entscheidend ist deshalb der vom Anbieter bestätigte Patchstand.
Was Unternehmen jetzt tun sollten
Betroffene Systeme erfassen
Klären Sie mit Ihrem IT- oder Hosting-Partner, wo PHP eingesetzt wird. Halten Sie fest, wer die jeweiligen Systeme betreut und wer notwendige Massnahmen übernimmt.
Sicherheitsupdates installieren lassen
Lassen Sie erforderliche Aktualisierungen unverzüglich durchführen. Bitten Sie externe Anbieter um eine konkrete Bestätigung der Behebung.
Wichtige Geschäftsabläufe testen
Kontrollieren Sie nach der Aktualisierung beispielsweise Anmeldung, Kontaktformulare und Bestellungen. So erkennen Sie, ob Ihre Anwendungen weiterhin wie vorgesehen funktionieren.
Ergebnisse dokumentieren
Notieren Sie, welche Systeme geprüft wurden, welche Massnahmen abgeschlossen sind und wo noch Handlungsbedarf besteht. Damit behalten Sie auch bei mehreren Dienstleistern den Überblick.
Auch nach dem Update aufmerksam bleiben
Das BACS empfiehlt, betroffene Dienste nach der Aktualisierung neu zu starten und die tatsächlich verwendete Version zu prüfen. Zudem sollten Systeme auf Auffälligkeiten untersucht werden. Für die laufende Überwachung und Absicherung von IT-Systemen bietet atside Managed Security Services an. Ein Update beseitigt keine bereits erfolgte Kompromittierung.
Bedeutet die Warnung, dass unser Unternehmen bereits gehackt wurde?
Nein. Eine mögliche Verwundbarkeit ist kein Nachweis für einen erfolgreichen Einbruch. Ein entsprechender Verdacht muss gesondert untersucht werden.
Unsere Website wird extern betreut. Müssen wir etwas unternehmen?
Kontaktieren Sie Ihren Anbieter und lassen Sie sich bestätigen, ob Ihre Umgebung betroffen ist und erforderliche Massnahmen abgeschlossen wurden.
Was gilt, wenn ein Update nicht sofort möglich ist?
Laut BACS sollten Zugriffe eingeschränkt und gegebenenfalls eine vorübergehende Trennung vom Internet geprüft werden. Übergangsmassnahmen und eine Web Application Firewall ersetzen die Sicherheitsupdates nicht vollständig.
Benötigen Sie Unterstützung?
Kontaktieren Sie unseren Service Desk, wenn Sie Fragen zur PHP-Warnung oder zur Absicherung Ihrer Systeme haben.