Kritische PHP-Sicherheitslücke: Wir haben geprüft und gehandelt

Zwei kritische Sicherheitslücken in PHP sorgen aktuell für große Aufmerksamkeit. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) warnt vor den Schwachstellen CVE-2026-109618 und CVE-2026-109619. Die notwendigen Sicherheitsupdates stehen inzwischen zur Verfügung.

Das klingt zunächst beunruhigend. Entscheidend ist aber, wie schnell ein Risiko erkannt, eingeordnet und behandelt wird.

Warum ist die aktuelle PHP-Sicherheitslücke so kritisch?

Die beiden Schwachstellen CVE-2026-109618 und CVE-2026-109619 werden vom BSI mit einem CVSS-Wert von jeweils 9,2 von 10 bewertet und gelten damit als kritisch. In der aktuellen Berichterstattung sind sie auch unter dem Namen „PHP2Shell“ bekannt.

Was macht PHP2Shell gefährlich? Unter bestimmten Voraussetzungen könnten Angreifer aus der Ferne Schadcode auf Webservern mit PHP-Anwendungen ausführen. Aus den CVSS-Bewertungen lässt sich laut BSI zudem ableiten, dass für eine Ausnutzung weder eine Authentifizierung noch eine Nutzerinteraktion notwendig sind.

Wer kann betroffen sein? Relevant ist das Thema überall dort, wo Webserver PHP-Anwendungen ausführen. Betreiber sollten deshalb wissen, ob und wo PHP in ihrer öffentlich erreichbaren IT-Infrastruktur eingesetzt wird und welche Version dort läuft.

Gibt es bereits ein Sicherheitsupdate? Ja. Seit dem 21. Oktober 2026 stehen Patches für verschiedene PHP-Versionen zur Verfügung. Das BSI empfiehlt, diese Sicherheitsupdates unverzüglich einzuspielen.

Gibt es bereits Angriffsversuche? Laut einer aktuellen Sicherheitsinformation unseres Partners Sophos berichten Cloudflare und Patchstack bereits von ersten Versuchen, die Schwachstellen auszunutzen. Umso wichtiger ist es, betroffene Systeme zeitnah zu aktualisieren und anschließend auf Auffälligkeiten zu prüfen.

Deshalb gilt: Keine Panik, aber auch kein Abwarten.

Was wir bei NCS getan haben

Als die Informationen zu den kritischen Schwachstellen bekannt wurden, haben wir das Thema bewertet und entsprechend reagiert.

Für unsere betroffene NCS-Umgebung wurden die notwendigen Sicherheitsupdates bereits erfolgreich eingespielt. Gleichzeitig nehmen wir PHP-basierte Anwendungen und Webanwendungen unserer Kunden in den Blick und sprechen relevante Kunden proaktiv an.

Genau darum geht es aus unserer Sicht bei guter IT-Sicherheit: Nicht jede neue Sicherheitsmeldung muss für Unternehmen zur Krise werden. Entscheidend ist, relevante Risiken frühzeitig zu erkennen, die eigene Umgebung zu beurteilen und dort zu handeln, wo tatsächlich Handlungsbedarf besteht.

Was Sie jetzt tun können

Auch wenn Ihre IT nicht von NCS betreut wird, können Sie jetzt einige Dinge konkret prüfen.

Klären Sie zunächst, ob und wo PHP in öffentlich erreichbaren Systemen eingesetzt wird und welche Version dort läuft. Für verschiedene PHP-Versionen stehen Sicherheitsupdates zur Verfügung. Diese sollten entsprechend der Empfehlung des BSI unverzüglich eingespielt werden.

Danach lohnt sich auch ein genauerer Blick auf die betroffenen Systeme. Gibt es Auffälligkeiten oder Hinweise auf eine mögliche Ausnutzung? Wer die eigene Umgebung nicht sicher beurteilen kann, sollte den zuständigen IT-Dienstleister oder einen Sicherheitsexperten hinzuziehen.

Und wenn NCS Ihre IT betreut?

Dann ist genau das unser Job.

Bei einer neuen Sicherheitslücke reicht es nicht, nur zu wissen, dass es sie gibt. Entscheidend ist, was sie für die eigene IT bedeutet und ob konkreter Handlungsbedarf besteht.

Dabei arbeiten wir auch mit spezialisierten Security-Partnern wie Sophos zusammen. Bei Kunden, die Sophos Managed Detection and Response (MDR) einsetzen, überwacht Sophos aktiv auf Anzeichen einer möglichen Ausnutzung der aktuellen PHP-Schwachstellen. Bei NCS ordnen wir die Risiken für die konkrete IT-Umgebung ein und leiten notwendige Maßnahmen daraus ab.

Quellen und Partnerhinweis:
Bundesamt für Sicherheit in der Informationstechnik (BSI), PHP Security Advisories sowie aktuelle Sicherheitsinformationen von Sophos. NCS ist Partner von Sophos. Die im Beitrag genannten Informationen zu Sophos MDR und beobachteten Exploit-Versuchen basieren auf einer aktuellen Sicherheitsinformation von Sophos. Die Einordnung und redaktionelle Aufbereitung des Beitrags erfolgt durch NCS.