Am 21. Oktober 2026 wurden zwei kritische Sicherheitslücken in der Programmiersprache PHP bekannt, die es Angreifern unter bestimmten Umständen ermöglichen, ohne vorherige Anmeldung Schadcode auf Webservern auszuführen. Die beiden Schwachstellen (CVE-2026-109618 und CVE-2026-109619) wurden mit einem Schweregrad von jeweils 9,2 auf einer Skala von 10 bewertet.
PHP ist eine weitverbreitete Programmiersprache, die vor allem zur Erstellung dynamischer Webseiten und Webanwendungen eingesetzt wird. Sie verarbeitet beispielsweise Formulare, verwaltet Benutzeranmeldungen und ermöglicht die Bereitstellung von Inhalten aus Datenbanken. Auch zahlreiche bekannte Content-Management-Systeme wie WordPress, Joomla und Drupal basieren auf PHP. Im schulischen Umfeld kommt PHP ebenfalls häufig zum Einsatz, beispielsweise bei Schulhomepages, digitalen Lernplattformen wie Moodle, webbasierten Verwaltungsprogrammen, Buchungs- und Anmeldesystemen für Elternsprechtage oder Fortbildungen sowie schulinternen Informationsportalen.
Wie gravierend die Sicherheitslücken eingeschätzt werden, zeigen zahlreiche vorsorgliche Abschaltungen von Webseiten und Onlinediensten. So nahm die Hochschule Hannover unter anderem ihre Moodle-Lernplattform, die Webhosting-Infrastruktur und weitere digitale Dienste zeitweise vom Netz. Auch die Universität Freiburg schaltete vorsorglich zentrale Webseiten, die Lernplattform ILIAS sowie verschiedene Anmelde- und Bibliotheksdienste ab. Darüber hinaus waren zahlreiche öffentliche Einrichtungen betroffen. Beispielsweise wurden sämtliche Internetseiten der Stadt Münster am 21. Oktober vorübergehend abgeschaltet. Einzelne kommunale Onlinedienste waren auch am Folgetag noch nicht wieder verfügbar. Diese Ausfälle waren in erster Linie vorsorgliche Schutzmaßnahmen und bedeuten nicht, dass die jeweiligen Systeme tatsächlich erfolgreich angegriffen wurden.
Das PHP-Projekt hat inzwischen Sicherheitsupdates veröffentlicht und empfiehlt ausdrücklich die sofortige Aktualisierung auf PHP 8.5.12, 8.4.27, 8.3.36 beziehungsweise 8.2.35. Welche Version installiert werden muss, hängt vom bisher eingesetzten PHP-Versionszweig ab. Besonders problematisch sind ältere Versionen wie PHP 8.1 und früher, die offiziell keine regulären Sicherheitsupdates mehr erhalten. Hier müssen Betreiber entweder auf eine unterstützte Version umsteigen oder sicherstellen, dass ihr Hosting-Anbieter entsprechende Sicherheitskorrekturen bereitstellt.
Für Betreiber von Schulhomepages und anderen webbasierten Anwendungen ergibt sich daraus konkreter Handlungsbedarf. Zunächst sollte überprüft werden, welche PHP-Version auf dem jeweiligen Webserver eingesetzt wird und ob die erforderlichen Sicherheitsupdates bereits installiert wurden. Bei extern gehosteten Webseiten empfiehlt es sich, den Hosting-Anbieter zu kontaktieren und sich die Installation der Sicherheitskorrekturen bestätigen zu lassen. Schulen, die eigene Webserver betreiben, sollten ihre zuständigen Systemadministratoren mit der Überprüfung und Aktualisierung beauftragen.
Falls eine sofortige Aktualisierung nicht möglich ist, empfiehlt das PHP-Projekt zusätzliche technische Schutzmaßnahmen. Dazu gehören insbesondere die Begrenzung der Größe eingehender Datenübertragungen und Datei-Uploads sowie die Anpassung bestimmter PHP-Konfigurationseinstellungen. Beispielsweise empfiehlt das PHP-Projekt, die Einstellung session.upload_progress.enabled zu deaktivieren und anschließend die betroffenen PHP-Prozesse neu zu starten. Für einen weiteren Angriffsweg wird vorübergehend die Einstellung memory_limit=-1 empfohlen. Diese Maßnahmen müssen fachgerecht durch die Serveradministration umgesetzt werden, da sie Auswirkungen auf den Betrieb der Anwendungen haben können. Sie reduzieren lediglich bestimmte Angriffsmöglichkeiten und ersetzen ausdrücklich kein Sicherheitsupdate. Können die Updates nicht zeitnah installiert werden, empfiehlt die europäische IT-Sicherheitsbehörde CERT-EU zudem, betroffene öffentlich erreichbare Anwendungen vorübergehend vom Internet zu isolieren.
Da eine Ausnutzung der Sicherheitslücken vor der Installation der Updates nicht grundsätzlich ausgeschlossen werden kann, sollten Webseitenbetreiber ihre Systeme zusätzlich auf ungewöhnliche Veränderungen, unbekannte Dateien und unberechtigt angelegte Benutzerkonten überprüfen. Auch die Kontrolle von Serverprotokollen auf auffällige Aktivitäten ist sinnvoll.
Entscheidend ist, dass nicht nur die eigentliche Webanwendung, sondern insbesondere die darunterliegende PHP-Installation auf dem Server aktualisiert wird. Ein gewöhnliches Update von WordPress, Moodle oder einem anderen Content-Management-System allein behebt diese Sicherheitslücken nicht.
Weitere technische Informationen und detaillierte Handlungsempfehlungen finden sich in der offiziellen Sicherheitsmeldung des PHP-Projekts vom 21. Oktober 2026.
Hilfreiche Links zur Behebung der PHP-Sicherheitslücken
Die folgenden fünf Anlaufstellen bieten technische Informationen, Sicherheitsupdates und praktische Hilfestellungen für Webseitenbetreiber und Administratoren.
1. PHP – Offizielle Sicherheitsmeldung vom 21. Oktober 2026 Beschreibung der beiden Sicherheitslücken, der betroffenen PHP-Versionen und konkreter Sofortmaßnahmen für Serveradministratoren.
2. PHP – Offizielle Downloads und Sicherheitsupdates Aktuelle PHP-Versionen zum Herunterladen. Für selbst verwaltete Server sind in der Regel die aktualisierten Pakete des jeweiligen Betriebssystemanbieters vorzuziehen.
3. PHP – Unterstützte Versionen Übersicht darüber, welche PHP-Versionen noch reguläre Sicherheitsupdates erhalten und wann der Support endet.
4. PHP – Konfiguration der Sitzungseinstellungen Technische Dokumentation zur PHP-Konfiguration, insbesondere zur Einstellung session.upload_progress.enabled, deren Deaktivierung als vorübergehende Schutzmaßnahme empfohlen wird.
5. PHP – Anleitung zur Aktualisierung auf neuere Versionen Einstieg in die offizielle PHP-Dokumentation mit weiterführenden Informationen zur Migration und zur Anpassung bestehender Anwendungen.
(Bildquelle: KI-generiert)
