Kritische Sicherheitslücken in PHP: BSI warnt Websitebetreiber
Das Bundesamt für Sicherheit in der Informationstechnik (BSI) warnt vor zwei kritischen Sicherheitslücken in der weitverbreiteten Programmiersprache PHP. Diese wird unter anderem für zahlreiche Unternehmenswebsites, Onlineshops und Content-Management-Systeme eingesetzt.
Was ist passiert?
Die beiden Sicherheitslücken CVE-2026-109618 und CVE-2026-109619 werden mit einem kritischen Schweregrad von 9,2 nach CVSS 4.0 bewertet.
Sie können Angreifern unter bestimmten Voraussetzungen ermöglichen, aus der Ferne Schadcode auf betroffenen Webservern auszuführen. Auch Websites mit CMS-Systemen wie WordPress, Contao oder Joomla können betroffen sein.
Schweregrad 9,2 von 10 nach CVSS 4.0, eingestuft als kritisch.
Schweregrad 9,2 von 10 nach CVSS 4.0, eingestuft als kritisch.
Webserver mit PHP, darunter Unternehmenswebsites, Onlineshops und CMS wie WordPress, Contao oder Joomla.
Was sollten Websitebetreiber jetzt tun?
- Eingesetzte PHP-Version beim Hoster überprüfen.
- Sicherheitsupdates umgehend installieren lassen.
- Website und Datenbank vor Änderungen sichern.
- Erreichbarkeit, Funktionen und Serverprotokolle kontrollieren.
Welche PHP-Versionen schließen die Sicherheitslücken?
Folgende Sicherheitsversionen wurden am 21.10.2026 veröffentlicht:
- PHP 8.2.35
- PHP 8.3.36
- PHP 8.4.27
- PHP 8.5.12
Bei älteren Versionen den Hersteller beziehungsweise Hostinganbieter nach Sicherheits-Backports fragen oder auf eine unterstützte PHP-Version wechseln.
Unsere Empfehlung
Websitebetreiber sollten ihre PHP-Umgebung kurzfristig überprüfen lassen und verfügbare Sicherheitsupdates unverzüglich installieren.
GLÜCKSGRIFF smart IT- and Websolutions unterstützt Unternehmen bei der technischen Überprüfung, Datensicherung und sicheren Aktualisierung ihrer Websysteme.