Das BSI warnt mit Kritikalitätsstufe Orange vor den PHP-Schwachstellen CVE-2026-109618 und CVE-2026-109619. Beide Lücken betreffen die PHP-Laufzeit selbst. Je nach Konfiguration kann eine nicht authentifizierte Anfrage ausreichen, um die Sicherheitslücke auszunutzen.
Betroffen sind nicht nur individuell entwickelte PHP-Anwendungen. Auch Websites und Systeme auf Basis von WordPress, TYPO3, Drupal, Joomla, Magento, Nextcloud oder Laravel können gefährdet sein, wenn auf dem Server eine ungepatchte PHP-Version läuft. Ein Update des CMS oder Frameworks allein genügt deshalb nicht.
Die von PHP veröffentlichten Sicherheitsstände sind PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35. Auf Linux-Servern können Distributionen Sicherheitskorrekturen als Backport bereitstellen. Prüfen Sie daher sowohl die verwendete PHP-Version als auch die Hinweise Ihres Hosters oder Betriebssystems.
Die tatsächliche PHP-Version sollte direkt im Hosting-Panel oder auf dem Server mit php -v kontrolliert werden. Ein externer Website-Check kann nur dann eine Version bewerten, wenn der Server diese öffentlich preisgibt. Dass eine Versionsnummer nicht sichtbar ist, ist eine sinnvolle Sicherheitsmaßnahme, ersetzt aber keine interne Prüfung.
Wenn ein kurzfristiges Update nicht möglich ist, können Maßnahmen wie eine Web Application Firewall die Angriffsfläche begrenzen. Sie stellen jedoch keinen vollständigen Schutz dar und sollten nur als Übergang bis zum Einspielen des Sicherheitsupdates eingesetzt werden.
Wenn Sie Unterstützung bei der Einordnung, dem PHP-Update oder der Kontrolle Ihrer Website brauchen, kontaktieren Sie mich gern. Gemeinsam prüfen wir den Patchstand und sorgen für eine sichere Aktualisierung.