Die Europäische Kommission (GD CNECT), ENISA, die Agentur der Europäischen Union für Cybersicherheit, CERT-EU, Europol EC3 und das Netzwerk der nationalen Computersicherheits-Incident-Response-Teams (CSIRTs network) raten Organisationen, unverzüglich Maßnahmen zu ergreifen, um zwei kritische Schwachstellen in PHP zu beheben, einer Programmiersprache, die für Websites und Anwendungen weit verbreitet ist.
Die Schwachstellen, die als CVE-2026-109618 und CVE-2026-109619 verfolgt werden, könnten es Angreifern ermöglichen, bösartigen Code auf anfälligen Servern ohne Authentifizierung aus der Ferne auszuführen. Das PHP-Sicherheitsteam veröffentlichte Updates am 21. Oktober 2026 um 13:40 UTC. Vollständige technische Details zu diesen Updates, sowie die betroffenen und die festen Versionen begleiten die Veröffentlichung.
PHP Sicherheitsberatung finden Sie unter: https://www.php.net/archive/2026.php
Unternehmen sollten ihre PHP-basierten Anwendungen identifizieren, sich mit Hosting- und Service-Providern abstimmen und die freigegebenen Sicherheitsupdates anwenden. Priorisieren Sie internet-facing-Systeme. Wenn eine sofortige Behebung nicht möglich ist, sollten Sie die Isolierung von exponierten Anwendungen von öffentlichen Netzwerken in Betracht ziehen, bis Korrekturen angewendet werden können.
Viele kommerzielle und Open-Source-Produkte setzen im Hintergrund auf PHP. Infolgedessen können einige von diesen Schwachstellen betroffen sein, auch wenn sie PHP nicht direkt zu verwenden scheinen. Wir empfehlen, das NCSC-NL GitHub-Repository auf Informationen über Software von Drittanbietern zu überprüfen, die PHP enthält und betroffen sein kann: https://github.com/NCSC-NL/php2shell
Die neuesten Ratschläge, die von CSIRTs Network-Mitgliedern veröffentlicht wurden, finden Sie in ihren entsprechenden offiziellen Kommunikationskanälen. Organisationen können sich auch auf Leitlinien von CERT-EU beziehen. ENISA unterhält eine beratende Sammlung unter: https://github.com/enisaeu/CNW/blob/main/advisories/2026/CNW-2026-04_php.md
Die ENISA und alle relevanten EU-Akteure werden diese Bedrohung weiterhin überwachen, um zu einem allgemeinen Situationsbewusstsein auf Unionsebene beizutragen.
EU-Politik
Organisationen sollten sich ferner darüber im Klaren sein, dass Hersteller von Hardware- und Softwareprodukten ab dem 11. September 2026 gemäß der Verordnung (EU) 2024/2847 (Cyber Resilience Act) aktiv genutzte Schwachstellen über die CRA-Plattform für die einheitliche Berichterstattung melden müssen. Weitere Informationen finden Sie unter: https://digital-strategy.ec.europa.eu/en/policies/cra-reporting und https://www.enisa.europa.eu/topics/product-security/vulnerability-services/eu-incident-response-and-cyber-crisis-management/single-reporting-platform-srp
Die wichtigsten Cybersicherheitsanforderungen des Cyber Resilience Act (CRA) gelten ab dem 11. Dezember 2027. Diese erfordern von Herstellern von Hardware- und Softwareprodukten („Produkte mit digitalen Elementen“), die Security-by-Design implementieren und die Sicherheitsunterstützung während des Lebenszyklus solcher Produkte gewährleisten, einschließlich der unverzüglichen Behebung von Schwachstellen.
