EU-Warnung zu PHP-Lücken macht Patch-Management zur Nachweispflicht

Wenn Europäische Kommission, ENISA, CERT-EU, Europol EC3 und das CSIRTs Network gemeinsam vor einer Software-Schwachstelle warnen, ist das kein Routinehinweis mehr, sondern ein Signal: Patch-Management für Standardsoftware wie PHP wird zur Pflicht, deren Erfüllung dokumentiert werden muss. Genau das ist am 21. Oktober 2026 passiert, als die genannten Stellen zwei kritische PHP-Schwachstellen öffentlich machten und Organisationen zu sofortigem Handeln aufforderten.

Das Wichtigste in Kürze

• Am 21. Oktober 2026 warnten fünf EU-Stellen gemeinsam vor CVE-2026-109618 und CVE-2026-109619 in PHP, beide mit nicht authentifizierter Remote-Code-Ausführung.
• PHP veröffentlichte am selben Tag Sicherheitsupdates für die Zweige 8.2 bis 8.5; für 8.1 und älter gibt es keinen offiziellen Fix mehr.
• Eine Versionsnummer allein beweist keine Sicherheit: Viele Produkte nutzen PHP im Hintergrund, ohne es im Namen zu tragen.
• CISA nahm beide CVEs am 26. Oktober 2026 in den Katalog aktiv ausgenutzter Schwachstellen auf.
• Für NIS2-betroffene Unternehmen zählt nicht nur das Patchen, sondern auch der dokumentierte Nachweis darüber.

Zwei kritische CVEs, eine gemeinsame Warnung

Die gemeinsame Erklärung der EU-Behörden vom 21. Oktober 2026 beschreibt beide Schwachstellen als kritisch: Sie können ohne vorherige Anmeldung zur vollständigen Kompromittierung eines Servers führen. Laut CERT-EU liegt CVE-2026-109618 eine Speicherbeschädigung beim Umgang mit einem Out-of-Memory-Zustand zugrunde, CVE-2026-109619 beruht auf der möglichen Wiederverwendung bereits freigegebenen internen Zustands. Beide erreichen einen CVSS-Basiswert von 9,2. PHP selbst veröffentlichte am 21. Oktober 2026 Korrekturen für die Zweige 8.2 bis 8.5; für 8.1 und ältere Versionen gibt es laut CERT-EU keinen regulären Upstream-Fix mehr.

Das macht die Warnung für den Mittelstand relevanter, als sie auf den ersten Blick wirkt. PHP steckt nicht nur in sichtbaren Webprojekten, sondern häufig unbemerkt in Shops, Portalen, Ticketsystemen, Dokumentenmanagement, Appliances und sogar in Produkten, die PHP gar nicht im Namen tragen. Wer nur die offensichtlichen Webserver prüft, übersieht typischerweise einen relevanten Teil der Angriffsfläche.

Warum eine Versionsnummer allein nicht reicht

Entscheidend ist der tatsächliche Laufzeitpfad, nicht die zuletzt bekannte Versionsangabe. Ein Server kann mehrere PHP-Versionen oder getrennte FPM-Pools gleichzeitig betreiben, und ein aktualisiertes Paket schützt erst, wenn laufende Worker, Container oder Serverless-Deployments tatsächlich neu gestartet beziehungsweise neu ausgerollt wurden. Bei Distributionen mit eigenem Support kann eine unveränderte Versionsnummer trotzdem bereits zurückportierte Korrekturen enthalten oder eben nicht – das lässt sich nur über das konkrete Hersteller-Bulletin oder die Paket-Revision klären, nicht über die Versionsnummer allein.

Besonders heikel sind Systeme bei Hosting- oder Serviceanbietern. ENISA fordert ausdrücklich, Hosting- und Serviceprovider in die Prüfung einzubeziehen. Das Auslagern des Betriebs entbindet nicht von der Steuerungsverantwortung: Ein Auftraggeber sollte schriftlich abfragen, welche PHP-Version und Paket-Revision läuft, ob der Fix eingespielt und die Anwendung neu bereitgestellt wurde, und wann dieser Nachweis erstellt wurde.

Priorisierung bei begrenzten Ressourcen

Nicht jedes System lässt sich an einem Tag patchen. ENISA empfiehlt eine klare Reihenfolge: zuerst öffentlich erreichbare PHP-Systeme, dann Systeme ohne wirksame Authentifizierung, danach Anwendungen mit hohem Geschäftsrisiko wie Kundenportale oder Zahlungssysteme. Veraltete, nicht mehr unterstützte PHP-Zweige ohne Upstream-Fix brauchen eine Migrationsentscheidung, keine Warteposition. Interne Systeme mit breitem Netzwerkzugriff oder privilegierten Funktionen sollten nicht automatisch als unkritisch gelten, da ein kompromittierter interner Server als Ausgangspunkt für Seitwärtsbewegungen dienen kann. Für PHP-Lücken, die auch Netzwerk-Appliances betreffen, haben wir die betriebliche Seite bereits in einem separaten Beitrag beschrieben.

Dass CISA beide CVEs am 26. Oktober 2026 in den Katalog aktiv ausgenutzter Schwachstellen aufgenommen hat, verschärft die Lage zusätzlich. Ein sauberer Patchstatus heute beweist keine fehlende Kompromittierung in der Vergangenheit – deshalb gehört eine Logprüfung auf verdächtige Zugriffe, unerwartete Prozesse und ausgehende Verbindungen zum vollständigen Vorgehen, nicht nur das Einspielen des Updates.

Was jetzt zu tun ist:

• Heute: Öffentlich erreichbare PHP-Systeme identifizieren, priorisiert patchen oder bis zum Patch über VPN, Allowlisting oder WAF absichern.
• Diese Woche: Vollständiges Inventar erstellen – inklusive Appliances, Drittanbieterprodukten und von Dienstleistern betriebenen Anwendungen; betroffene Systeme neu starten beziehungsweise neu ausrollen, nicht nur Pakete aktualisieren.
• Mittelfristig: Logs auf frühere Ausnutzung prüfen, PHP-8.1-Altsysteme migrieren und Dienstleisterbestätigungen schriftlich einholen und archivieren.

Nachweispflicht statt reiner Technik

Die Warnung selbst ist kein eigenständiges Gesetz und ersetzt keine behördliche Anordnung. Sie deckt sich aber inhaltlich mit den NIS2-Anforderungen an Risikomanagement, Schwachstellen-Umgang und Lieferkettenbewertung nach Artikel 21. Wer unter NIS2 fällt, sollte deshalb nicht nur patchen, sondern dokumentieren: Zeitpunkt der Kenntnisnahme, betroffene und nicht betroffene Systeme, Priorisierung, Patch- oder Migrationsnachweis, begründete Ausnahmen mit Verantwortlichem und Ablaufdatum sowie Dienstleisterbestätigungen. Ein laufender Schwachstellenscanner allein ist kein ausreichender Nachweis, da er eingebettete oder falsch erkannte PHP-Installationen übersehen kann. Wer die eigene NIS2-Betroffenheit noch nicht eingeordnet hat, findet eine erste Orientierung über die NIS2-Ersteinschätzung; eine rechtliche Bewertung sollte im Einzelfall erfolgen.

Einordnung aus Sicht von jalotiqo

Wir halten diese Warnung für deutlich relevanter, als ihre Reichweite in der breiten Berichterstattung vermuten lässt – gerade weil PHP im Mittelstand oft unsichtbar in Drittprodukten steckt und deshalb regelmäßig unterschätzt wird. Der typische Denkfehler ist aus unserer Sicht, Patch-Management als rein technische Aufgabe der Administration zu behandeln und die Dokumentationsseite erst im Nachgang, unter Zeitdruck, nachzuliefern. Genau diese Lücke zwischen „wir haben gepatcht“ und „wir können belegen, was wann gepatcht wurde“ wird bei einer Prüfung zum Problem, nicht die Technik selbst. An Stelle einer IT-Leitung würden wir zuerst die externe Angriffsfläche vollständig inventarisieren und priorisiert patchen, bevor wir interne Systeme oder theoretische Restrisiken adressieren – und wir würden bewusst noch keine vollständige forensische Prüfung aller Systeme anstoßen, solange die akute Exposition nicht geschlossen ist. In einer Plattform, in der Patchstatus, betroffene Systeme und Dienstleisterbestätigungen ohnehin gemeinsam mit dem IT-Betrieb erfasst werden, entsteht ein solcher Nachweis aus der laufenden Arbeit, statt ihn im Nachgang separat zusammenzutragen.

Quellen

1. ENISA: Joint Statement on Critical PHP Vulnerabilities (21.10.2026)
2. CERT-EU Security Advisory 2026-018
3. CISA: Critical Vulnerabilities in PHP Require Immediate Patching