Kritische Schwachstelle in Internetseiten & Online-Anwendungen

Welche IT ist betroffen?

Die Schwachstelle wurde in der Programmiersprache PHP entdeckt. Da PHP weltweit zu den am häufigsten eingesetzten Technologien für Webanwendungen gehört, können zahlreiche Websites und Online-Dienste betroffen sein.

Updates für die PHP Versionen 8.X

PHP 7 und älter wird seit 2022 nicht mehr supportet!

Technische Sicherheitswarnung des Bundesamtes für Sicherheit in der Informationstechnik

PHP ist eine serverseitige Programmiersprache, die insbesondere für dynamische Websites und Webanwendungen eingesetzt wird. Auf dem Webserver verarbeitet sie beispielsweise Benutzereingaben, erstellt Webseiteninhalte und kommuniziert mit Datenbanken.

Betroffen sind nicht nur individuell entwickelte PHP-Anwendungen, sondern auch zahlreiche weit verbreitete Produkte und Open-Source-Lösungen, die auf PHP basieren oder PHP-Komponenten einsetzen. Dazu gehören unter anderem:

• WordPress,
• Drupal,
• TYPO3,
• Joomla,
• Magento oder
• Nextcloud.

Da PHP häufig durch Hosting- oder IT-Dienstleister bereitgestellt wird, ist die zugrundeliegende PHP-Version den Betreibern der Website nicht immer unmittelbar bekannt.

Wer muss handeln?

Betroffen sind grundsätzlich alle Unternehmen und Organisationen, die Websites oder Online-Anwendungen auf Basis von PHP betreiben.

In vielen Fällen wird PHP durch Hosting- oder IT-Dienstleister bereitgestellt und betrieben. Entsprechend können notwendige Sicherheitsupdates häufig nur durch diese eingespielt werden. Ein Update von Anwendungen wie TYPO3, WordPress oder Joomla allein ist daher nicht ausreichend.

Was ist zu tun?

Die Situation ist ernst: Bis die vom PHP-Sicherheitsteam angekündigten Sicherheitsupdates verfügbar und installiert sind, besteht für betroffene Systeme ein erhebliches Risiko. Aus diesem Grund haben einzelne IT- und Hosting-Dienstleister bereits damit begonnen, besonders gefährdete Webangebote vorsorglich einzuschränken oder vorübergehend vom Netz zu nehmen.

Das können Sie konkret tun:

• Prüfen Sie, ob Ihre Websites oder Online-Anwendungen PHP nutzen.
• Prüfen Sie gemeinsam mit Ihrem Hosting- oder IT-Dienstleister, welche PHP-Version eingesetzt wird und ob die aktuelle Sicherheitswarnung relevant ist.
• Stimmen Sie die zeitnahe Installation der Sicherheitsupdates ab. Siehe oben.
• Vergewissern Sie sich nach der PHP-Aktualisierung, ob die Systeme ordnungsgemäß mit der abgesicherten PHP-Version laufen.
• Prüfen Sie, ob die Systeme bereits erfolgreich angegriffen wurden. Durch das PHP-Update wird lediglich die ausgenutzte Sicherheitslücke geschlossen. Bereits erfolgte Manipulationen oder vom Angreifer nachträglich eingebrachte Schwachstellen bleiben hiervon unberührt.
• Falls kurzfristig keine Absicherung oder Aktualisierung möglich ist, sollte eine vorübergehende Einschränkung oder Abschaltung besonders gefährdeter Systeme geprüft werden.

Gibt es Lösungen für das Problem?

Das PHP-Sicherheitsteam hat am 21. Oktober 2026 Sicherheitsupdates (sogenannte Patches) bereitgestellt , um die betroffenen Schwachstellen zu schließen.
Diese sollten schnellstmöglich eingespielt werden. Nur durch die Installation der bereitgestellten Sicherheitsupdates lässt sich das Risiko einer Ausnutzung der Schwachstellen wirksam reduzieren.