Kritische PHP-Sicherheitslücken: Handlungsbedarf bei selbst verwalteten Systemen

Inhaltsverzeichnis

Liebe Kunden,

In der weit verbreiteten Skriptsprache PHP wurden zwei kritische Sicherheitslücken bekannt (CVE-2026-109618 und CVE-2026-109619, jeweils CVSS 9.2), die mit aktuellen Updates geschlossen sind. Angreifer können darüber ohne Anmeldung Schadcode auf Webservern ausführen. Für die Lücken sind bereits Exploits öffentlich verfügbar, erste Angriffe wurden beobachtet. Das BSI hat die Warnstufe „Orange“ ausgegeben: Maßnahmen sind unverzüglich erforderlich.

Was bedeutet das für Sie als Medialine-Kunde?

Von uns verwaltete Applikationen sind von der aktuellen PHP-Sicherheitslücke nicht betroffen oder Sie wurden bereits direkt von uns informiert.

Dennoch können sich auf von Ihnen selbst verwalteten Systemen Komponenten befinden, auf denen PHP durch Sie als Kunde selbst eingesetzt und verantwortet wird. Diese Systeme liegen außerhalb unserer direkten Administration und müssen daher individuell überprüft werden.

Wo Sie selbst aktiv werden müssen

Betroffen ist PHP überall dort, wo Sie es selbst betreiben, zum Beispiel bei:

Webservern oder Onlineshops (WordPress, Shopware, Magento …)
Intranet-, Ticket- oder Groupware-Systemen
Systemen die PHP einsetzen und gleichzeitig über öffentliche IP-Adressen erreichbar sind.
Management und Administrationskonsolen und Interfaces die auf PHP basieren.

So gehen Sie vor

Version prüfen: Auf dem Server mit php -v, im Hosting-Panel oder per Rückfrage bei Ihrem Webdienstleister.
Aktualisieren: Sicher sind die Versionen 8.5.12, 8.4.27, 8.3.36 und 8.2.35. Entscheidend ist das Update von PHP selbst. Ein Update des CMS oder der Plugins reicht nicht.
Alte Versionen ablösen: PHP 8.1 und älter erhalten keinen Patch. Diese Systeme sollten Sie zeitnah migrieren oder vom Netz nehmen.
Auf Auffälligkeiten achten: War ein ungepatchtes System öffentlich erreichbar, empfehlen wir eine Prüfung auf Kompromittierung.

Sollten Sie bei der Prüfung Unterstützung benötigen oder Fragen zur Betroffenheit Ihrer Systeme haben, wenden Sie sich bitte an unseren Medialine Service Desk oder an support@medialine.ag . Wir unterstützen Sie gerne bei der Einordnung und den erforderlichen Maßnahmen.