Sicherheitshinweis: kritische Schwachstelle PHP

Wie Sie vielleicht schon der Presse entnommen haben, wurden am 21. Oktober 2026 zwei kritische Sicherheitslücken in PHP bekanntgegeben und mit CVSS 9.2 bewertet. PHP ist eine weit verbreitete Programmiersprache, die viele Webseiten antreibt, aber auch in NAS-Systemen eingerichtet sein kann. Der Hersteller hat eine Notfall-Sicherheitsaktualisierung veröffentlicht, um diese Lücken zu schließen.

Worin besteht die Gefahr?

Über die Schwachstelle könnten Angreifer aus dem Internet die volle Kontrolle über Websites, Portale und andere Webanwendungen übernehmen, auf denen PHP läuft. Sie könnten dann Daten von Kunden und Mitarbeitern stehlen, Inhalte manipulieren oder von dort aus weiter ins Unternehmensnetz vordringen.

Falls Ihre Website oder Ihre geschäftskritischen Webanwendungen auf PHP basieren, besteht ein hohes Risiko für unbefugte Zugriffe und Datendiebstahl. Nach der DSGVO müssen Sie solche Sicherheitsvorfälle unverzüglich beheben und ggf. eine Datenschutzverletzung melden und im schlimmsten Fall Betroffene benachrichtigen.

Mittlerweile kursieren bereits funktionierende Proof-of-Concept-Exploits (PoCs) und automatisierte Exploit-Toolings auf GitHub zur Ausnutzung der Schwachstellen und erste Angriffe wurden im Internet registriert.

Anbei der Link auf die Sicherheitswarnung des BSI (Bundesamt für Sicherheit in der Informationstechnik): https://www.bsi.bund.de/SharedDocs/Cybersicherheitswarnungen/DE/2026/2026-297981-1032.pdf?__blob=publicationFile&v=4

Unsere Empfehlungen:

(1) Lassen Sie Ihren Webhosting-Anbieter oder Webdesigner umgehend überprüfen, ob Ihre Website PHP nutzt und ob die neueste Sicherheitsaktualisierung eingespielt ist. Viele Webhoster sind gerade dabei, die Updates einzuspielen.

(2) Sprechen Sie uns an, falls Sie Unterstützung benötigen, um Ihre aus dem Internet erreichbaren Server und Anwendungen auf den Einsatz von PHP zu prüfen und die Sicherheitsupdates nach Veröffentlichung sofort einzuspielen: it-support@ehrig.de, Tel. 030 34 789-400.

(3) Wenn Sie Fragen zum Datenschutz-haben, etwa zur Meldepflicht, sprechen Sie bitte Ihren Datenschutzbeauftragten an.

Quelle: Konzept17 GmbH/ BSI