Auf dieser Seite informiert das RUS-CERT über kritische Schwachstellen in PHP und über Gegenmaßnahmen.
Updates, welche die Schwachstellen schließen, stehen bereit. Release-Ankündigung der PHP-Autoren: https://www.php.net/archive/2026.php#2026-10-21-5
PHP ist eine gängigen Programmiersprache, welche vor allem für Webseiten und Webanwendungen eingesetzt wird. In PHP wurden zwei Schwachstellen enteckt, zu denen erste Informationen am Abend des 20. Oktober öffentlich wurden.
Die Schwachstellen erlauben einem entfernten unauthentifizierten Angreifer die Ausführung von beliebigem Code (Remote Code Execution, RCE). Betroffen sind laut CERT-EU alle Versionen ab PHP 5 aufwärts, d.h. alle in den letzten ca. 20 Jahren veröffentlichten Versionen.
Beispiele für PHP-basierte Dienste (auch in Docker-Containern), die betroffen sein könnten, sind: WordPress, Drupal, TYPO3, NextCloud, ownCloud, MediaWiki, dokuwiki, selbstentwickelte Webseiten und viele mehr.
Die Schwachstellen werden vom BSI mit CVSS 9.8 (kritisch) eingestuft.
In den letzten Monaten und Jahren hat die "Time-to-Exploit" stark abgenommen und wird nun in Stunden oder Tagen gemessen, nicht zuletzt weil Angreifern KI-Unterstützung zur Verfügung steht, um Exploits zu entwickeln. Vortragsfolien des KIT-CERT liefern hier weitere Hintergründe.
Es existieren inzwischen öffentlich verfügbare Exploits. Wir konnten einen Exploit erfolgreich an einem Testsystem verifizieren. Angriffe auf verwundbare Systeme sind zu erwarten und wurden im Internet schon beobachtet.
21. Oktober, 15:45 Uhr: Aktualisierte Versionen von PHP stehen zur Verfügung. Die Ankündigung ist unter https://www.php.net/archive/2026.php#2026-10-21-5 verfügbar.
Es kann noch etwas dauern, bis die Updates in den Repositories aller Distributionen auftauchen und Container-Images aktualisiert sind.
Wir empfehlen, betroffene Systeme sofort offline zu nehmen bzw. in ihrer Erreichbarkeit einzuschränken, bis die Updates installiert sind.
In den Advisories der PHP-Autoren werden Workarounds / Mitigations beschrieben. Diese helfen gegen spezifische Exploits, schließen die Lücken laut den Autoren jedoch nicht vollständig. Die Mitigations reichen nicht aus, um eine öffentlich erreichbare PHP-Anwendung zu betreiben.