Kritische Lücke in PHP
Kritische PHP-Sicherheitslücke bedroht Millionen Webseiten
Zwei neu entdeckte Schwachstellen in der weit verbreiteten Programmiersprache PHP sorgen weltweit für Alarm. Angreifer könnten darüber die vollständige Kontrolle über Webseiten und Webserver erlangen. HMC und unser Hosting-Partner concept.id haben bereits reagiert und die betreuten Systeme mit den erforderlichen Sicherheitsupdates versorgt.
Warum ist die Sicherheitslücke so gefährlich?
PHP gehört zu den wichtigsten technischen Grundlagen des Internets. Die Programmiersprache kommt unter anderem bei zahlreichen Unternehmenswebseiten, Onlineshops und Content-Management-Systemen wie WordPress, Joomla und Drupal zum Einsatz.
Am 21. Oktober 2026 wurden zwei kritische Sicherheitslücken mit den Kennungen CVE-2026-109618 und CVE-2026-109619 bekannt. Beide werden mit einem Schweregrad von 9,2 auf einer Skala bis 10 bewertet.
Das Besondere an diesen Schwachstellen: Angreifer können unter bestimmten Voraussetzungen über das Internet Schadcode auf betroffenen Servern ausführen, ohne sich zuvor anmelden zu müssen.
Im schlimmsten Fall können sie dadurch Webseiten manipulieren, vertrauliche Daten auslesen oder ganze Serversysteme übernehmen.
Behörden nehmen Webseiten vorsorglich vom Netz
Die Bedrohung wird weltweit ernst genommen. Verschiedene Behörden, Hochschulen und öffentliche Einrichtungen haben ihre Internetangebote vorsorglich abgeschaltet, um mögliche Angriffe zu verhindern.
Auch deutsche Einrichtungen sind betroffen. Sicherheitsexperten rechnen damit, dass Cyberkriminelle gezielt nach verwundbaren Webseiten suchen und versuchen werden, die Schwachstellen automatisiert auszunutzen.
Die PHP-Entwickler haben deshalb außerplanmäßige Sicherheitsupdates bereitgestellt. Webseitenbetreiber sollten diese schnellstmöglich installieren lassen.
HMC-Kunden sind bereits geschützt
Gute Nachrichten für unsere Hosting-Kunden: Gemeinsam mit unserem Partner concept.id haben wir die erforderlichen Sicherheitsupdates bereits eingespielt.
Alle über HMC beziehungsweise concept.id betreuten Hosting-Systeme wurden entsprechend aktualisiert. Unsere Kunden mussten hierfür nicht selbst tätig werden. Der aktuelle Vorfall zeigt einmal mehr, wie wichtig professionelles Hosting, regelmäßige Sicherheitsupdates und eine kontinuierliche Betreuung der IT-Infrastruktur sind. Denn bei kritischen Sicherheitslücken entscheiden häufig wenige Stunden darüber, ob Systeme rechtzeitig geschützt werden.
Was sollten andere Webseitenbetreiber jetzt tun?
Wer seine Webseite bei einem anderen Anbieter betreibt, sollte kurzfristig überprüfen lassen, ob PHP eingesetzt wird und ob die aktuellen Sicherheitsupdates bereits installiert wurden. Besonders wichtig ist dabei die Aktualisierung der serverseitigen PHP-Installation. Ein gewöhnliches Update von WordPress oder anderen Webseiten-Anwendungen allein reicht nicht aus, um diese Sicherheitslücken zu schließen.
Unser Rat: Kontaktieren Sie Ihren Hosting-Anbieter oder Ihre betreuende IT-Agentur und lassen Sie den Sicherheitsstatus Ihrer Webseite überprüfen.
Sie sind unsicher, ob Ihre Webseite betroffen ist? Sprechen Sie uns an. Wir unterstützen Sie gerne bei der Bewertung und Absicherung Ihrer Web-Infrastruktur.
HMC Systemhaus OHG – IT-Sicherheit ist keine Nebensache.
Hier geht es zur Einschätzung des BSI
Gut verständliche Situationsbeschreibung bei der FAZ
Die Sueddeutsche ordnet das Gefahrenpotenzial treffen ein.