PHP-Schwachstellen veranlassen weltweite Website-Ausfälle

Die PHP Foundation kündigte am Mittwoch die Patches für CVE-2026-109618 und CVE-2026-109619 an. Die Schwachstellen könnten es Angreifern ermöglichen, die Kontrolle über Server aus der Ferne zu übernehmen. Die Patches wurden vor 10 Uhr ET veröffentlicht. Die PHP Foundation betonte, dass ein Update die einzige sichere Option sei.

Regierungen und große Websites schalteten Seiten ab, um Missbrauch zu verhindern. Das Australian Signals Directorate, die französische Polizeiprefektur, der IT-Dienst der deutschen Regierung, das belgische Außenministerium, die niederländische Cybersicherheitsbehörde, die finnische National Land Survey und weitere schalteten Websites offline. Die US National Security Agency warnte, dass die Schwachstellen direkten Zugriff auf Dateisysteme oder Datenbanken ermöglichen könnten. Das UK National Cyber Security Centre riet, nach Hintertüren zu suchen.

Der CTO von Cloudflare, Dane Knecht, erklärte, dass frühere Angriffe auftreteten. Cloudflare aktualisierte die Firewall-Regeln als Übergangslösung. Die Schwachstellen wurden erstmals von Sicherheitsfirmen Calif und Wiz mithilfe von KI-Tools erkannt.

PHP betreibt etwa 75 % aller identifizierbaren Websites. Die Sprache ist freie, quelloffene Software, die von Freiwilligen gepflegt wird. WordPress, Wikipedia, Slack und Adobes Magento basieren auf PHP.

Die Schwachstellen betreffen alle PHP-Installationen ab Version 5, obwohl nur PHP 8.2+ offiziell unterstützt wird. Legacy-PHP-Versionen können weiterhin anfällig sein, wenn sie nicht gepatcht werden.