Kritische PHP-Lecks: Warum Websites weltweit gefährdet sind
The Strategic Newb Editorial Team
Aktualisiert am:
Aus dem Original übersetzt; Zahlen und Quellen wurden beibehalten. Original lesen →
Aktualisiert am 21. Oktober 2026. Dieser Artikel beschreibt die Situation gemäß den unten aufgeführten Quellen zu diesem Datum.
Eine Website kann vorübergehend verschwinden, während der Administrator versucht, einen Cyberangriff zu verhindern. Dies geschieht nun nach der Entdeckung zweier kritischer Sicherheitslücken in PHP. Die Software wird von Websites und Online-Anwendungen in verschiedenen Ländern verwendet. Dadurch hat das Problem eine internationale Tragweite.
Die Sicherheitsupdates sind jetzt verfügbar. Die wichtigste Frage für Website-Administratoren ist daher, ob ihr Hosting-Anbieter oder ihr technisches Team die Lösung tatsächlich implementiert hat. PHP-Projekt
Was ist mit PHP los?
PHP ist eine Software, die es Servern ermöglicht, Website-Code auszuführen. Besucher sehen meist nur das Ergebnis: eine Seite, ein Formular oder einen Online-Shop. Hinter diesen sichtbaren Teilen kann die gleiche zugrunde liegende Technologie laufen.
Die Schwachstellen sind als CVE-2026-109618 und CVE-2026-109619 registriert. Beide haben einen Schweregrad von 9,2 von 10. Laut CERT-EU können sie es Angreifern unter bestimmten Umständen ermöglichen, Code auszuführen, ohne sich vorher anzumelden. Dies wird als Remote-Codeausführung bezeichnet. CERT-EU
Daher ist die Sicherheit des Servers wichtig, auch wenn die Website selbst gut gepflegt wird.
Ist das PHP-Problem global?
Ja, das technische Risiko ist global. Es hängt mit der verwendeten Software und den verwendeten Konfigurationen zusammen, nicht mit nationalen Grenzen. Eine anfällige Installation kann sich bei einem kleinen Unternehmen, einer internationalen Organisation oder auf einer gemeinsam genutzten Hosting-Plattform befinden.
Die Warnungen sind auch international. CERT-EU hat Sicherheitshinweise für Organisationen veröffentlicht. Auch das Australian Cyber Security Centre veröffentlichte eine kritische Warnung zu PHP. Dies unterstreicht, dass es sich hierbei nicht um einen ausschließlich niederländischen Vorfall handelt. CERT-EUAustralisches Cyber-Sicherheitszentrum
Globales Risiko bedeutet jedoch nicht, dass in jedem Land die gleiche Störung auftreten wird. Es bedeutet auch nicht, dass alle Websites, die PHP verwenden, gehackt wurden. Die tatsächlichen Folgen hängen unter anderem von der Verwundbarkeit einer Anlage und den getroffenen Maßnahmen ab.
Warum nehmen Organisationen ihre Websites selbst offline?
Eine vorübergehend nicht erreichbare Website kann die Folge einer Vorsichtsmaßnahme sein. CERT-EU empfiehlt eine sofortige Aktualisierung. Wenn dies nicht möglich ist, sollten Organisationen erwägen, Anwendungen, auf die über das Internet zugegriffen werden kann, vorübergehend von öffentlichen Netzwerken zu isolieren. CERT-EU
Ein konkretes Beispiel kommt aus den Niederlanden. Das National Cyber Security Center berichtete, dass es aufgrund der PHP-Schwachstellen vorsorglich die eigene Website offline genommen habe. Dieses Gutachten bestätigt eine Schutzmaßnahme, keinen erfolgreichen Einbruch. NCSC Niederlande
Der Unterschied ist für Benutzer möglicherweise nicht sichtbar: Sie sehen eine Fehlermeldung oder eine Wartungsseite. Der Unterschied ist für die Beurteilung des Vorfalls wesentlich.
Sind Angreifer bereits aktiv?
CERT-EU berichtet, dass technische Details öffentlich diskutiert werden und erste Missbrauchsdemonstrationen kursieren. Dies erhöht die Chance einer tatsächlichen Ausbeutung. Dies bestätigt die Dringlichkeit, liefert jedoch keine globale Gesamtzahl gehackter Websites. CERT-EU
Daher sind drei Situationen zu unterscheiden:
| Situation | Bedeutung |
|---|---|
| Verletzlich | Ein System enthält eine Sicherheitslücke. |
| Vorsichtshalber offline | Der Administrator schränkt die Zugänglichkeit vorübergehend ein. |
| Bestätigte Kompromittierung | Die Untersuchung ergab unbefugten Zugriff oder Missbrauch. |
Eine Fehlermeldung allein ist kein Beweis für einen Datendiebstahl.
Welche PHP-Updates lösen das Problem?
Das PHP-Projekt hat diese Sicherheitsversionen am 21. Oktober 2026 veröffentlicht: PHP-Projekt
| PHP-Serie | Veröffentlichung mit den Sicherheitsfixes |
|---|---|
| PHP 8.2 | 8.2.35 |
| PHP 8.3 | 8.3.36 |
| PHP 8.4 | 8.4.27 |
| PHP 8.5 | 8.5.12 |
Betriebssystemanbieter können die Lösungen auch in ihre eigenen Pakete integrieren. Lassen Sie sich daher vom Lieferanten oder Administrator bestätigen, welches Paket sicher ist. PHP 8.1 und ältere Versionen erhalten keine regelmäßigen Updates mehr vom PHP-Projekt; Der Support anderer Anbieter kann variieren. PHP-Projekt
Was bedeutet das für WordPress-Websites?
WordPress verwendet PHP. Das bloße Aktualisieren von WordPress, eines Themes oder eines Plugins ersetzt nicht die PHP-Installation auf dem Server. Wordfence betont daher, dass Eigentümer festlegen sollten, wer für das PHP-Update verantwortlich ist: der Hosting-Anbieter oder das eigene technische Team. Wordfence
Bitten Sie diese Partei um eine konkrete Bestätigung der installierten Sicherheitslösung. Erkundigen Sie sich im Falle einer Unterbrechung auch, wann der Dienst kontrolliert wieder aufgenommen werden kann.
Häufig gestellte Fragen zu den PHP-Leaks
Ist das gesamte Internet ausgefallen?
Die konsultierten Quellen untermauern diese Behauptung nicht. Es besteht ein breites technisches Risiko, dessen Folgen je nach Dienst unterschiedlich sind.
Wurde eine Offline-Website gehackt?
Das folgt nicht aus der Unzugänglichkeit. Ein Administrator kann eine Website absichtlich vorübergehend deaktivieren.
Reicht ein WordPress-Update?
Die PHP-Installation muss vom Betreiber des Servers separat aktualisiert werden. Wordfence
Reichen temporäre Schutzmaßnahmen?
Nach Angaben des PHP-Projekts bietet nur die Aktualisierung eine vollständige Behebung dieser Schwachstellen. Vorübergehende Maßnahmen können die Gefährdung durch bestimmte Angriffswege verringern. PHP-Projekt
Quellen
PHP-Projekt – Offizielle Sicherheitsmitteilung und Veröffentlichungen vom 21. Oktober 2026
CERT-EU – Kritische Schwachstellen in PHP, Stellungnahme 2026-018
Australian Cyber Security Center – kritische PHP-Warnung auf der Website, 21. Oktober 2026
Wordfence – PSA: Bevorstehende kritische PHP-Sicherheitsversion
Weiterlesen
Cybervorfälle in Supermärkten: Digitale Risiken in der physischen Welt