Zwei kritische Sicherheitslücken in PHP versetzen Website-Betreiber in Alarmbereitschaft. Aus Angst vor Angriffen gingen zahlreiche Seiten vorsorglich offline. Inzwischen sind Sicherheitsupdates verfügbar, die Betreiber dringend installieren sollten. Ein Wettlauf hat begonnen: Webseitenbetreiber versuchen, die Updates möglichst schnell einzuspielen, währenddessen probieren Hacker, in die jeweiligen Systeme einzudringen.
Die Schwachstellen mit den Kennungen CVE-2026-109618 und CVE-2026-109619 ermöglichen es Angreifern, aus der Ferne eigenen Code auf verwundbaren Servern auszuführen – und das ohne vorherige Anmeldung. Die PHP-Entwickler bewerten beide Lücken mit 9,2 von 10 Punkten. Besonders gefährdet sind Systeme, auf denen PHP mit der Apache-Erweiterung mod_php läuft. Für diese Konfiguration ist laut den Entwicklern ein funktionierender Angriffsweg bekannt.
"Heute" auf Google als bevorzugte Quelle festlegen
Auch österreichische Websites betroffen
Die Warnung führte dazu, dass zahlreiche Betreiber ihre Websites vorübergehend vom Netz nahmen. In Österreich waren unter anderem die Universität Wien, die TU Wien und die "NÖN" sowie der APA-Aussendungsdienst OTS betroffen. Auch im Ausland wurden Websites vorsorglich abgeschaltet. Sicherheitsbehörden hatten dazu geraten, gefährdete Systeme vorübergehend vom öffentlichen Internet zu trennen, falls ein sofortiges Update nicht möglich ist.
Kreditkarten-Hackerinnen durch Hack selbst entlarvt
?
Die Sicherheitslücken betreffen zahlreiche PHP-Versionen, laut den veröffentlichten Warnungen reicht das Risiko bis zu älteren Versionen zurück. Das macht auch veraltete Server und Geräte problematisch, für die keine regulären Sicherheitsupdates mehr erscheinen.
Die Bilder des Tages
?
Diese Updates müssen Betreiber installieren
PHP hat fehlerbereinigte Versionen veröffentlicht: 8.5.12, 8.4.27, 8.3.36 und 8.2.35. Betreiber sollten ihre Systeme so rasch wie möglich aktualisieren. Wer eine nicht mehr unterstützte PHP-Version verwendet, sollte auf eine aktuelle, unterstützte Version wechseln. Vorübergehende Konfigurationsänderungen können bekannte Angriffswege einschränken, ersetzen laut PHP aber kein Update.
Entdeckt wurden die Schwachstellen nach Angaben der Sicherheitsfirma Wiz mithilfe künstlicher Intelligenz. Wie viele Server tatsächlich verwundbar sind und welche Folgen die Lücken haben werden, ist noch nicht abschließend geklärt. Laut "n-tv.de" gab es bereits Hinweise auf Angriffsversuche. Betreiber sollten daher nicht abwarten, sondern ihre PHP-Installationen prüfen und absichern.
