SOFT-CONSULT

Kritische Sicherheitslücken in PHP: Was Unternehmen jetzt wissen müssen

Zwei kritische Sicherheitslücken in PHP können die Ausführung von Code aus der Ferne ermöglichen. Das PHP-Projekt hat Sicherheitsupdates veröffentlicht. Wir zeigen, welche Versionen betroffen sind und was Unternehmen jetzt tun sollten.

Was ist passiert?

Das PHP Security Team hatte am 20. Oktober 2026 vorab eine außerplanmäßige Sicherheitsveröffentlichung angekündigt. Anlass waren zwei kritische Sicherheitslücken, die jeweils mit einem CVSS-v4-Wert von 9,2 von 10 bewertet wurden.

Vereinfacht gesagt betreffen beide Schwachstellen den Umgang von PHP mit Speicher beziehungsweise Daten, die während der Verarbeitung von Webanfragen im Speicher liegen.

Bei einer Schwachstelle kann ein Angreifer bestimmte Speicherfehler gezielt provozieren. PHP kann dabei in einen ungültigen Speicherzustand geraten, der sich anschließend für die Ausführung von Code missbrauchen lässt. Für Apache mod_php wurde Remote Code Execution über HTTP bestätigt. Das Advisory betrachtet auch PHP-FPM als grundsätzlich anfällig, wobei die Ausnutzbarkeit von Umgebung und Anwendung abhängt.

Bei der zweiten Schwachstelle können bestimmte Daten eines Requests im PHP-Worker verbleiben, obwohl der dazugehörige Speicher bereits freigegeben wurde. Ein späterer Request kann auf diesen veralteten Zustand zugreifen. Das kann zu einer sogenannten Use-after-free-Situation und letztlich ebenfalls zur Ausführung fremden Codes führen. Remote Code Execution wurde hier für mod_php sowie für einen Session-Lifecycle-Angriff mit FPM validiert.

Welche Systeme sind betroffen?

Grundsätzlich sollten Unternehmen PHP-Installationen prüfen, die Webanfragen verarbeiten. Das PHP-Projekt nennt unter anderem:

  • PHP-FPM

  • Apache mit mod_php

  • php-cgi

  • FrankenPHP

  • LiteSpeed

Das höchste Risiko sieht das PHP-Projekt derzeit bei Apache mit mod_php, da hierfür eine unauthentifizierte Ausnutzung demonstriert wurde, die bereits vor der Ausführung des eigentlichen Anwendungscodes greifen kann.

Wichtig bei älteren PHP-Versionen: PHP 8.1 und älter erhalten vom PHP-Projekt regulär keine Updates mehr. Einige Distributionen und LTS-Anbieter stellen jedoch zurückportierte Sicherheitskorrekturen bereit. Aufgrund der Schwere der aktuellen Schwachstellen hat das PHP Security Team außerdem minimale Source-Backports für PHP 7.4, 8.0 und 8.1 bereitgestellt.

Unternehmen, die noch ältere PHP-Versionen einsetzen, sollten daher prüfen, ob ihr Betriebssystem- beziehungsweise LTS-Anbieter entsprechende Sicherheitsupdates bereitstellt oder ein Wechsel auf eine unterstützte PHP-Version erforderlich ist.

Warum sind die Sicherheitslücken so kritisch?

Der entscheidende Punkt ist Remote Code Execution.

Bei einer erfolgreichen Ausnutzung kann ein Angreifer Code mit den Berechtigungen des Web-Workers ausführen. Beim bestätigten Angriff auf die erste Schwachstelle ist dafür keine vorherige Authentifizierung erforderlich. Das Advisory bewertet mögliche Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit jeweils als hoch.

Für Unternehmen bedeutet das potenziell unter anderem:

  • Zugriff auf Daten, auf die der kompromittierte Prozess zugreifen kann

  • Manipulation von Daten oder Anwendungen

  • Ausfall beziehungsweise Beeinträchtigung des betroffenen Systems

Diese Auswirkungen ergeben sich unmittelbar aus der vom Advisory bestätigten Codeausführung sowie der hohen Bewertung von Vertraulichkeit, Integrität und Verfügbarkeit.

Unsere Handlungsempfehlung

1. PHP-Version ermitteln

Prüfen Sie zunächst alle öffentlich erreichbaren Websites, Portale, Webshops und Individualanwendungen darauf, welche PHP-Version tatsächlich produktiv ausgeführt wird.

2. Betroffene Systeme priorisieren

Internet-exponierte produktive Systeme sollten aufgrund der möglichen Remote Code Execution zuerst betrachtet werden.

3. Sicherheitsupdate installieren

Aktualisieren Sie betroffene Systeme auf eine korrigierte Version:

  • PHP 8.2.35

  • PHP 8.3.36

  • PHP 8.4.27

  • PHP 8.5.12

4. Anwendungen nach dem Update testen

Insbesondere bei älteren Anwendungen sollte das Update mit einem Funktions- und Kompatibilitätstest verbunden werden. Backup beziehungsweise Snapshot und Rollback-Möglichkeit sollten vor einem Produktionsupdate vorhanden sein.

5. Logs und Systeme kontrollieren

Beim zweiten Advisory empfiehlt das PHP-Projekt unter anderem, PHP-, Webserver-, Reverse-Proxy- und Service-Logs auf Fehler und auffällige Situationen zu untersuchen. Gleichzeitig weist das Projekt darauf hin, dass das Fehlen entsprechender Logeinträge kein Beweis dafür ist, dass ein System sicher oder nicht betroffen war.

Was passiert, wenn Unternehmen nicht reagieren?

Ein ungepatchtes System behält die beschriebenen Schwachstellen. Besonders relevant ist dabei, dass eine erfolgreiche Ausnutzung nicht lediglich zum Absturz von PHP führen muss. Für die beschriebenen Angriffsszenarien wurde Remote Code Execution mit den Rechten des Web-Workers bestätigt. Damit sollte das Thema nicht wie ein gewöhnliches Versionsupdate behandelt werden.

Fazit: Prüfen, patchen, absichern

Die aktuelle PHP-Sicherheitswarnung zeigt einmal mehr: Auch etablierte Komponenten der Web-Infrastruktur müssen konsequent im Patch- und Vulnerability-Management berücksichtigt werden.

Unsere Empfehlung: Prüfen Sie jetzt, welche PHP-Versionen in Ihrer Umgebung eingesetzt werden, priorisieren Sie öffentlich erreichbare Systeme und installieren Sie die bereitgestellten Sicherheitsupdates.

Sie sind unsicher, ob Ihre Website oder Webanwendung betroffen ist?
Sprechen Sie uns an. Wir unterstützen Sie bei der Prüfung und der sicheren Aktualisierung Ihrer Systeme.

Head of Sales SOFT-CONSULT - Martin Theimer.

Wollen Sie mehr darüber erfahren? Dann vereinbaren Sie einen Termin mit unseren Spezialisten.

Martin Theimer

07345 / 9611-451 sc@soft-consult.net

Quellen und weiterführende Informationen

Termin buchen