Das europäische Cyber-Notfallteam hat Webseiten, die nicht beide kritischen PHP-Sicherheitslücken schließen können, dazu aufgefordert, notfalls offline zu gehen. Beide Schwachstellen ermöglichen es Angreifern, Webserver ohne Login zu übernehmen.
PHP arbeitet im Hintergrund bei einem großen Teil der Webangebote, etwa bei WordPress-Blogs und Magento-Onlineshops. Allerdings wurden Details zu beiden Schwachstellen schon bekannt, bevor die Updates fertiggestellt waren.
Angreifer starten früher
Der Leak wurde am 20. Oktober veröffentlicht, also vor der offiziell geplanten Bekanntgabe, berichtete Huntress. Das Sicherheitsteam der PHP Foundation setzte daraufhin die Veröffentlichung des Updates auf den 21. Oktober um 14:00 Uhr UTC an.
The PHP security team is giving advance notice: Upcoming security release Wed, Oct 21st 2026, 14:00UTC, two critical vulnerabilities, both rated CVSSv4 9.2.
— The PHP Foundation (@ThePHPF) October 20, 2026
PHP users are encouraged to prepare to update. Earlier release if details become public or active exploit evidence.
Die Sicherheitsfirma watchTowr hat nach Angaben von Huntress bereits eine der beiden Schwachstellen erfolgreich nachvollzogen. Huntress selbst gab an, bei seinen Kunden noch keine Angriffe bemerkt zu haben.
Im Gegensatz dazu teilte Dane Knecht, Chief Technology Officer von Cloudflare, mit, dass Angriffe bereits begonnen haben. Sein Unternehmen habe für alle Kunden, auch für die kostenlosen, Firewall-Regeln gegen die bekannten Angriffswege eingerichtet.
Wir sehen erste Angriffe und passen unsere Schutzmaßnahmen an, wenn neue Angriffsmöglichkeiten auftauchen. Das ist nur eine Übergangslösung.
Knecht gab diese Warnung in einem Beitrag auf X weiter.
Das Computer Emergency Response Team der Europäischen Union (CERT-EU) und die australische Cyber-Agentur warnten beide, dass die PHP-Sicherheitslücken alle Versionen ab PHP 5 betreffen können, berichtete Reuters.
Einige Forscher erwarten laut Huntress Updates nur für unterstützte PHP-8-Versionen. Damit könnten Seiten mit älteren, nicht mehr unterstützten Versionen ohne Sicherheitspatch bleiben.
Die Warnung kommt wenige Wochen, nachdem mehr als 100 Unternehmen vor einem starken Anstieg von KI-Cyberangriffen in den nächsten Monaten gewarnt hatten.
Was PHP-Sicherheitslücken für Webseitenbetreiber bedeuten
Laut Daten von W3Techs läuft PHP auf etwa 69% aller Webseiten, deren serverseitige Sprache bekannt ist. Allein WordPress betreibt ungefähr 40% aller Webseiten.
CERT-EU erklärte, dass der Schweregrad 9,2 auf die Möglichkeit einer nicht-authentifizierten Remote-Code-Ausführung hinweist. Einfach gesagt, es wäre für einen Außenstehenden möglich, ohne Zugangsdaten bösartigen Code auf einem Server auszuführen.
Der Webhoster GoDaddy warnte, dass Angreifer Daten stehlen, Webseiten manipulieren oder die komplette Kontrolle über das System gewinnen könnten. Gestohlene Daten haben echten Wert, wie die Bankeinbrüche in Südkorea gezeigt haben.
Das Sicherheits-Plugin Wordfence wies darauf hin, dass jede WordPress-Webseite auf einem PHP-Server läuft. Automatische Updates von WordPress beheben die PHP-Sicherheitslücken jedoch nicht. Betreiber müssen daher prüfen, wer bei ihnen die PHP-Updates übernimmt.
Angriffe auf alltägliche Infrastruktur nehmen weiter zu, wie der Angriff auf Kühlschränke in französischen Supermärkten im Oktober gezeigt hat. Die aktuellen PHP-Sicherheitsrisiken verschieben die Bedrohung auf die Software-Basis unter sehr vielen Webseiten, wo bereits ein verpasstes Server-Update große Risiken entstehen lässt.
Lesen Sie die Originalgeschichte Warum die EU einigen Websites vorschreibt, sich abzuschalten von Phil Haunhorst auf de.beincrypto.com