Kritische Schwachstellen in PHP betreffen Web-Anwendungen weltweit

Das BSI veröffentlichte am 21. Oktober 2026 einen IT-Sicherheitshinweis zu den folgenden Schwachstellen in PHP:

• CVE-2026-109618 (EUVD-2026-107260) mit einem CVSS-Score von 9.2/10 ermöglicht Angreifenden Remote Code Execution (RCE) auf Webservern.

• CVE-2026-109619 (EUVD-2026-107265) mit einem CVSS-Score von 9.2/10 ermöglicht Angreifenden ebenfalls RCE auf Webservern.

Die Sicherheitslücken betreffen alle bekannten PHP-Versionen, zurückgehend bis mindestens PHP 5. Um die Lücken auszunutzen, benötigen Angreifende weder eine Authentifizierung noch Nutzerinteraktionen. Die Kombination der beiden Schwachstellen wird auch unter der Benennung PHP2Shell zusammengefasst.

Auf GitHub wurde bereits ein Proof of Concept (PoC) zu den Sicherheitslücken veröffentlicht, was das Risiko einer Ausnutzung zusätzlich erhöht.

Mit den folgenden PHP-Versionen schließt das Entwickler-Team die Lücken:

• 8.5.12

• 8.4.27

• 8.3.36

• 8.2.35

Empfehlungen

• Installieren Sie umgehend und je nach Konfiguration eine der oben genannten PHP-Versionen.

• Wenn Sie das Update nicht zeitnah einspielen können, nehmen Sie ihre Web-Anwendungen offline, die PHP nutzen. Nehmen Sie die Web-Anwendungen erst nach der Installation des Updates wieder online.

Weitere Informationen

• IT-Sicherheitshinweis des BSI
• Warnmeldung zu CVE-2026-109618 (engl.)
• Warnmeldung zu CVE-2026-109619 (engl.)
• Proof of Concept auf GitHub (engl.)
• Schwachstellenmeldung des BSI
• Schwachstellenmeldung der ENISA zu CVE-2026-109618 (engl.)
• Schwachstellenmeldung der ENISA zu CVE-2026-109619 (engl.)