Kritische PHP-Lücken bedrohen auch Netzwerk-Appliances im Mittelstand

Zwei kritische PHP-Lücken mit einem CVSS-Wert von 9,2 betreffen nicht nur Websites, sondern potenziell auch Firewalls, NAS-Systeme und andere Appliances mit eingebettetem PHP. Wer jetzt nur den eigenen Webserver prüft, übersieht möglicherweise den größeren Teil des Risikos.

Das Wichtigste in Kürze

• Das BSI warnte am 22. Oktober 2026 vor zwei kritischen PHP-Schwachstellen (CVSS 4.0: 9,2), die entfernte Codeausführung ermöglichen können.
• Betroffen sind PHP 8.2 bis 8.5 vor den Oktober-Patches; für PHP 8.1 und älter gibt es keinen offiziellen Fix mehr.
• Die Lücke steckt nicht nur in Webservern, sondern laut BSI potenziell auch in Netzwerkprodukten mit eingebettetem PHP.
• Seit dem 27. Oktober 2026 gibt es erste Hinweise auf aktive Ausnutzung in freier Wildbahn.

Zwei Lücken mit CVSS 9,2 – was das BSI meldet

Das Bundesamt für Sicherheit in der Informationstechnik warnte am 22. Oktober 2026 vor zwei kritischen Schwachstellen in PHP, der am weitesten verbreiteten Skriptsprache für Webanwendungen (BSI). CVE-2026-109618 und CVE-2026-109619 erreichen nach CVSS 4.0 jeweils 9,2 von 10 Punkten – eine der höchsten praktisch vergebenen Einstufungen. Beide Lücken können laut BSI eine entfernte Ausführung von Schadcode auf dem Webserver ermöglichen.

Betroffen sind die PHP-Versionen 8.2 bis 8.5 vor den im Oktober veröffentlichten Patches: 8.2.0 bis 8.2.34, 8.3.0 bis 8.3.35, 8.4.0 bis 8.4.26 sowie 8.5.0 bis 8.5.11 (AWS Security Bulletin). Wer PHP 8.1 oder älter einsetzt, bekommt keinen offiziellen Fix mehr – diese Versionszweige haben ihr Supportende bereits erreicht. Dort bleibt nur der Umstieg auf eine unterstützte Version oder ein vom jeweiligen Hersteller gepflegtes Sicherheits-Backport.

Die unterschätzte Gefahr: PHP steckt auch in Appliances

Die meisten IT-Teams denken bei PHP zuerst an die eigene Website oder das Content-Management-System. Das BSI weist aber ausdrücklich darauf hin, dass auch Netzwerkprodukte PHP integrieren können und deshalb Herstellerhinweise zu prüfen sind (BSI). Das macht die Lücke zu einem blinden Fleck: PHP läuft häufig unsichtbar in der Administrationsoberfläche von Firewalls, VPN-Gateways, NAS-Systemen, Druckern, Zutrittskontrollen oder Monitoring-Appliances – Geräte, die im klassischen Patch-Zyklus für Webanwendungen selten vorkommen.

Eine belastbare, geprüfte Liste konkreter Hersteller oder Produktmodelle, die durch diese beiden CVEs bestätigt betroffen sind, liegt derzeit nicht vor. Das ändert nichts an der Prüfpflicht: Eine Dokumentationsseite, die PHP erwähnt, belegt weder die eingesetzte Version noch eine Sicherheitslücke. Klarheit bringt nur die Sicherheitsmeldung des jeweiligen Herstellers, die installierte Firmware oder eine Software-Stückliste.

Erkennung und Priorisierung

Eine erfolgreiche Ausnutzung kann laut AWS zur Codeausführung mit den Rechten des Webserverprozesses führen (AWS Security Bulletin). Einen einzelnen Log-Eintrag, der eine Ausnutzung beweist oder ausschließt, gibt es nicht – die Fehler liegen in der internen Speicherverwaltung von PHP-Worker-Prozessen und bleiben in normalen Webserver-Logs oft unsichtbar (Palo Alto Networks Unit 42). Auffällig sind eher Spuren im Umfeld: Shell-Prozesse, die von einem Webserver gestartet wurden, neue PHP-Dateien in Upload- oder Cache-Verzeichnissen, unerwartete Cronjobs oder Systemd-Einheiten sowie ungewöhnliche ausgehende Verbindungen eines Webserverprozesses.

Seit dem 27. Oktober 2026 gibt es erste Hinweise auf aktive Ausnutzung: Das Canadian Centre for Cyber Security berichtete, Open-Source-Quellen deuteten inzwischen auf Angriffe in freier Wildbahn hin (Canadian Centre for Cyber Security). Umfang und betroffene Opfer bleiben dabei offen.

Was jetzt zu tun ist:

• Heute: Internet-erreichbare PHP-Installationen identifizieren (Webserver, CMS, Portale) und auf die gepatchten Versionen 8.2.35, 8.3.36, 8.4.27 oder 8.5.12 aktualisieren.
• Diese Woche: Appliances und Netzwerkprodukte – Firewalls, VPN-Gateways, NAS, Drucker, Zutrittssysteme – auf eingebettetes PHP prüfen und Herstellerhinweise einholen.
• Diese Woche: Logs von Reverse-Proxy, Webserver, PHP-FPM und vorhandener EDR-Telemetrie sichern, um eine spätere forensische Prüfung zu ermöglichen.
• Mittelfristig: Für PHP 8.1 und älter einen verbindlichen Migrationsplan aufstellen, da kein offizieller Fix mehr erscheint.
• Mittelfristig: Ein belastbares Inventar aller Systeme mit Weboberfläche aufbauen, damit künftige Schwachstellen schneller zugeordnet werden können.

Außerdem wichtig in dieser Woche

Microsoft hat am 21. Oktober 2026 begonnen, Exchange Web Services (EWS) in Exchange Online mandantenweise zu deaktivieren, und veröffentlichte am 22. Oktober 2026 Hinweise zur Fehlerbehebung (bleepingcomputer). EWS ist eine ältere Schnittstelle, über die viele Archivierungs-, CRM- und Workflow-Anwendungen auf Postfächer zugreifen – fällt sie weg, können diese Anwendungen plötzlich ausfallen. Administratoren können EWS vorübergehend wieder aktivieren, diese Möglichkeit endet jedoch im April 2027 (borncity). Lokale Exchange-Server sind von dieser Abschaltung nicht betroffen.

Handlungsschritt: Prüfe mit deinen Dienstleistern, welche Anwendungen noch EWS nutzen, und plane die Umstellung auf Microsoft Graph rechtzeitig vor April 2027. Eine kurzfristige Reaktivierung sollte nur als Notlösung dienen, nicht als dauerhafte Antwort.

Einordnung aus Sicht von jalotiqo

Wir halten die PHP-Lücke für unterschätzt, weil die öffentliche Debatte fast ausschließlich von Webservern spricht und die eigentliche Unsicherheit – PHP in Appliances – kaum Beachtung findet. Der typische Denkfehler ist, eine Schwachstelle als erledigt zu betrachten, sobald die öffentliche Website gepatcht ist, während Dutzende interner Geräte mit eingebetteter Weboberfläche ungeprüft bleiben. An Stelle einer IT-Leitung würden wir zuerst ein vollständiges Inventar aller Systeme mit Weboberfläche erstellen, statt auf eine vermeintliche Liste betroffener Hersteller zu warten – die gibt es ohnehin nicht verlässlich. Bewusst noch nicht reagieren würden wir auf jede Mutmaßung zu aktiver Ausnutzung einzelner Branchen, solange keine unabhängig bestätigten Zahlen vorliegen; das bindet Kapazität, die besser in die Inventur fließt. Wer IT-Inventar und Sicherheitskontrollen wie in jalotiqo ONE ohnehin in einer Datenbasis führt, kann eine solche Schwachstellenprüfung über alle Systeme hinweg schneller nachvollziehen als mit mehreren getrennten Listen.

Quellen

1. BSI-Warnung: Kritische PHP-Schwachstellen bedrohen Webanwendungen weltweit
2. Canadian Centre for Cyber Security: Update zu aktiver Ausnutzung von CVE-2026-109618 und CVE-2026-109619
3. AWS Security Bulletin zu den betroffenen PHP-Versionen
4. Palo Alto Networks Unit 42: technische Analyse zu CVE-2026-109618 und CVE-2026-109619
5. bleepingcomputer: Microsoft zur Fehlerbehebung bei ausgefallenen EWS-Anwendungen
6. borncity: EWS-Abschaltung – Reaktivierung bis April 2027 möglich