Kritische Sicherheitslücken in PHP erfordern sofortiges Patchen

Was passiert ist

Die CISA fordert Organisationen dringend auf, die kürzlich bekannt gewordenen kritischen Sicherheitslücken in PHP, CVE-2026-109618 (die öffentliche Katalognummer für eine bestimmte Softwareschwachstelle) und CVE-2026-109619, umgehend zu patchen. Bisher hat die CISA keine Ausnutzung dieser Schwachstellen beobachtet, doch stellen sie ein Risiko für Organisationen dar, sofern sie ungepatcht bleiben.

Warnung: Kritische Sicherheitslücken in PHP erfordern sofortiges Patchen. Veröffentlichungsdatum: 21. Oktober 2026. Die CISA fordert Organisationen dringend auf, die kürzlich bekannt gewordenen kritischen Sicherheitslücken in PHP, CVE-2026-109618 und CVE-2026-109619, umgehend zu patchen. Organisationen, die nicht sofort aktualisieren können, oder die weiterhin PHP 8.1 oder ältere, nicht mehr unterstützte Versionen verwenden, sollten PHP-basierte Systeme offline nehmen, bis sie gepatcht oder aktualisiert werden können.

Diese Schwachstellen, bekannt als „php2shell“, ermöglichen die Ausführung von Code aus der Ferne ohne Authentifizierung (das Ausführen von Programmen auf einem Rechner von einem anderen Ort aus) in PHP und betreffen alle PHP-Installationen, die Webanfragen bedienen. Organisationen sollten umgehend auf PHP 8.5.12, 8.4.27, 8.3.36 oder 8.2.35 aktualisieren, um diese Schwachstellen zu beheben.

Die CISA empfiehlt Organisationen folgende Maßnahmen: Ermitteln und erfassen Sie alle Systeme in Ihrer Organisation, auf denen PHP in irgendeiner Version läuft. PHP ist häufig eine Komponente anderer Software, weshalb die Verbreitung möglicherweise nicht direkt erkennbar ist.