Das Bundesamt für Sicherheit in der Informationstechnik (BSI) warnt vor zwei kritischen Sicherheitslücken in PHP (CVE-2026-109618 und CVE-2026-109619). Die Schwachstellen betreffen nach aktuellem Kenntnisstand alle PHP-Versionen und könnten Angreifern ermöglichen, aus der Ferne Schadcode auf betroffenen Webservern auszuführen – ohne Anmeldung oder Benutzerinteraktion.

Wir kümmern uns um die Sicherheit Ihrer Managed Server: Bei unseren Managed Servern, die eine aktuell unterstützte und gepflegte PHP-Version verwenden, spielen wir die verfügbaren Sicherheitsupdates im Rahmen des heutigen Patchdays automatisch ein. Damit stellen wir sicher, dass entsprechende Sicherheitskorrekturen zeitnah berücksichtigt werden.

Falls Sie unmanaged Systeme bei uns einsetzen:

• Prüfen Sie, ob Ihre Webanwendungen und Server PHP verwenden.
• Installieren Sie verfügbare Sicherheitsupdates unmittelbar nach deren Veröffentlichung.
• Berücksichtigen Sie auch PHP-basierte Anwendungen in Docker-Containern sowie eingebettete Komponenten.
• Stellen Sie sicher, dass ausschließlich unterstützte PHP-Versionen eingesetzt werden.

Die Veröffentlichung der Patches ist für den 21. Oktober 2026 ab 16:00 Uhr angekündigt. Das BSI hält eine kurzfristige, breite Ausnutzung der Schwachstellen nach Veröffentlichung der Updates für wahrscheinlich.