PHP: Kritische Schwachstellen bedrohen Webanwendungen weltweit
Version 1.2: PHP – Kritische Schwachstellen bedrohen Webanwendungen weltweit
In einer Vorab-Ankündigung informieren die Entwickler von PHP aktuell über die Veröffentlichung von Details und Patches zu zwei Schwachstellen in der Programmiersprache am 21. Oktober 2026 ab 16 Uhr. Auch wenn zum aktuellen Zeitpunkt nur wenige Details verfügbar sind, legen die Bewertungen nach CVSS (Common Vulnerability Scoring System; Version 4.0) mit 9.2 von 10 nahe, dass es Angreifern auf Basis von CVE-2026-109618 und CVE-2026-109619 gelingen könnte, aus der Ferne schadhaften Code auf Webservern mit PHP-Anwendungen auszuführen.
Weiterhin kann aus den CVSS-Scores abgeleitet werden, dass für eine Ausnutzung weder eine Authentifizierung noch eine Nutzerinteraktion erforderlich sind. Die Schwachstellen werden in aktuellen Berichtserstattungen auch als „PHP2Shell“ bezeichnet, um die Ähnlichkeit mit der Schwachstelle „Log4Shell“ aufzuzeigen.
Zum aktuellen Zeitpunkt sind noch keine bestätigten Ausnutzungen der Schwachstellen bekannt, jedoch gibt es bereits unbestätigte Berichte über existierende Exploits.
Der Patch für die Schwachstelle ist heute 16 Uhr deutscher Zeit (14:00 UTC) angekündigt und sollte unverzüglich zu diesem Zeitpunkt installiert werden.
Update 1 (21.10.2026):
Entsprechend der Vorankündigung haben die Entwickler inzwischen Patches für verschiedene PHP-Versionen bereitgestellt. Weiterhin wurden weitere Details zu den Schwachstellen veröffentlicht. Diese finden sich unter anderem in den entsprechenden GitHub Advisories zu den CVEs und in den Blogartikeln von Wiz.io sowie Calif.io, die zusammen mit OpenAI an der Entdeckung der Schwachstellen beteiligt waren.
Update 2 (22.10.2026):
Seit der Veröffentlichung der Patches haben nicht nur die Entwickler von Webanwendungen, sondern auch immer mehr Hersteller von Netzwerkkomponenten im Allgemeinen zu möglichen Verwundbarkeiten Advisories veröffentlicht, da mitunter PHP in den Produkten integriert ist.
Dem BSI ist aktuell noch keine erfolgreiche Ausnutzung der Schwachstellen in der Breite bekannt.
Ausserdem hier https://www.bsi.bund.de/DE/Service-Navi/Presse/Pressemitteilungen/Presse2026/261021_PHP-kritische-Schwachstelle.html
