PHP-Lücken: Updates da, Cloudflare meldet Angriffe

Aktualisiert am 21.10.: Korrigierte Pakete für Debian und Ubuntu, Bericht der PHP Foundation zur Verzögerung und Hinweis auf Geräte mit PHP ergänzt.

Die Sicherheitsupdates für PHP sind da, und jetzt bestätigt Cloudflare selbst erste Angriffsversuche: Die Versionen 8.5.12, 8.4.27, 8.3.36 und 8.2.35 schließen die zwei kritischen Lücken. In Österreich haben unter anderem die NÖN, die Caritas und Universitäten ihre Websites vorsorglich vom Netz genommen. Wer eine Website betreibt, sollte sich heute vom Hoster bestätigen lassen, dass das Update eingespielt ist.

Stand: 21. Oktober 2026, 19:04 Uhr (Österreich). PHP hat die Updates gegen 15:35 Uhr veröffentlicht, inzwischen gibt es auch korrigierte Pakete für Debian und Ubuntu. Cloudflare bestätigt Angriffsversuche, WordPress hat eine eigene Warnung herausgegeben.

Was ist passiert?

Am 20. Oktober hat das Sicherheitsteam von PHP eine Vorankündigung veröffentlicht: Für Mittwoch, 21. Oktober 2026, 16 Uhr österreichischer Zeit, war ein Sicherheitsupdate gegen zwei kritische Schwachstellen angekündigt. Beide sind mit 9,2 von 10 Punkten auf der Skala CVSS bewertet.

Die Computer-Notfallstelle der EU-Institutionen, CERT-EU, nennt dazu die Kennungen CVE-2026-109618 und CVE-2026-109619 und spricht von einer möglichen Remote Code Execution ohne Anmeldung. Übersetzt: Ein Angreifer könnte über das Internet eigenen Programmcode auf dem Server ausführen, ohne ein Passwort zu kennen. Erste Angaben dazu waren laut CERT-EU schon vor dem Update durchgesickert.

Die Updates sind da

Mit dem Update bestätigt das PHP-Sicherheitsteam: Beide Lücken können es einem Angreifer ermöglichen, ohne Anmeldung eigenen Code auf dem Server auszuführen. Betroffen sind laut PHP alle Installationen, die Webanfragen bearbeiten, also PHP-FPM, Apache mit mod_php, php-cgi, FrankenPHP und LiteSpeed. Am größten ist das Risiko bei Apache mit mod_php: Dafür gibt es laut PHP einen vorgeführten Angriff, der greift, bevor die eigentliche Website-Anwendung überhaupt läuft.

Die Ursache liegt tief in PHP selbst. Bei CVE-2026-109618 geht es um den Umgang mit vollem Arbeitsspeicher, bei CVE-2026-109619 um interne Daten einer Anfrage, die nach deren Ende nicht sauber verschwinden und von einer späteren Anfrage aufgegriffen werden können. Behoben sind beide in PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35. Für die nicht mehr unterstützten Versionen 7.4, 8.0 und 8.1 hat das Sicherheitsteam ausnahmsweise kleine Korrekturen im Quellcode bereitgestellt. Das sind keine fertigen neuen Versionen, ob ein Hoster sie einbaut, muss man dort erfragen.

PHP nennt auch Einstellungen, die einzelne Angriffswege erschweren. Vollständigen Schutz bieten sie laut PHP aber nicht, sie sind nur eine Überbrückung, bis das Update eingespielt ist. Von aktiven Angriffen spricht die Mitteilung von PHP nicht.

Pakete für Debian und Ubuntu. Wer einen eigenen Server betreibt, bekommt die Korrektur inzwischen auch über die Paketverwaltung. Debian führt PHP 8.2 in Version 8.2.35-1~deb12u1 (Debian 12) und PHP 8.4 in Version 8.4.27-1~deb13u1 (Debian 13) als behoben. Ubuntu hat mit der Meldung USN-8948-1 korrigierte Pakete für 22.04, 24.04, 26.04 und 26.10 veröffentlicht, für 22.04 sogar für PHP 8.1, das vom PHP-Projekt selbst keine Updates mehr bekommt. Die Versionsnummern der Distributionen weichen von denen auf php.net ab, entscheidend ist der Paketstand.

Nicht nur Websites. Das niederländische NCSC weist darauf hin, dass PHP auch in Geräten und Verwaltungsoberflächen steckt, etwa in Netzwerkgeräten, bei denen Betreiber PHP nicht selbst aktualisieren können. Ob ein Gerät betroffen ist, sagt nur der Hersteller.

Warum es so lange gedauert hat

Die PHP Foundation hat am Mittwoch einen ausführlichen Bericht veröffentlicht. Erste Anzeichen des Speicherproblems hinter CVE-2026-109618 fand ein Entwickler demnach schon 2024, damals allerdings ohne konkreten Angriffsweg. Am 11. August 2026 meldeten dann zwei Stellen unabhängig voneinander, dass sich darüber ein Server vollständig übernehmen lässt. Die lange Verzögerung bezeichnet die Foundation selbst als „structural failure“, also als Versagen ihrer Abläufe. Sie will Entscheidungen im Sicherheitsteam künftig per Mehrheit treffen und schwierige Fälle früher eskalieren.

Was ist neu?

Cloudflare bestätigt Angriffsversuche. Der Internetdienstleister Cloudflare schreibt in seinem Blog, er habe Angriffsverkehr gegen Websites seiner Kunden beobachtet. Die Angreifer hätten ihre Angriffe dabei abgewandelt, um die Schutzregeln zu umgehen. Cloudflare filtert solche Anfragen nach eigenen Angaben seit 21. Oktober, 5:02 Uhr österreichischer Zeit, auch im kostenlosen Tarif, rät aber ausdrücklich, PHP trotzdem zu aktualisieren. Wichtig ist die Unterscheidung: Angriffsversuche sind bestätigt. Dass dadurch Websites übernommen wurden, belegt keine der geprüften Quellen.

Österreich: NÖN, Caritas und Universitäten offline. Laut Der Standard und MeinBezirk haben die Niederösterreichischen Nachrichten (NÖN), die Caritas und der Presseaussendungsdienst OTS der APA ihre Websites vorsorglich vom Netz genommen. Die Universität Wien hat laut ihrer Notfallseite unter anderem Websites, Webmail, Moodle und u:cloud abgeschaltet, die TU Wien hat ihre Onlinedienste laut MeinBezirk auf das interne Universitätsnetz beschränkt. Das sind Vorsichtsmaßnahmen, keine Angriffe.

WordPress warnt. Das WordPress-Projekt fordert Websitebetreiber auf, PHP umgehend zu aktualisieren. Ein WordPress-Update sei dafür weder nötig noch geplant, die Lücken stecken in PHP selbst. Wer noch eine PHP-Version vor 8.2 auf einem eigenen Server betreibt, sollte laut WordPress erwägen, den Server vom Netz zu nehmen, bis PHP aktualisiert ist.

Niederlande: Behörden und Nachrichtenseiten offline. Laut dem niederländischen Rundfunk NOS sind seit Mittwochmittag unter anderem DigiD, der staatliche Anmeldedienst, das Bürgerportal MijnOverheid, die Website des Parlaments Tweede Kamer, die Datenschutzbehörde, Website und App von RTL Nieuws sowie das Technikportal Tweakers vorsorglich offline. Sogar die Website des staatlichen Cybersicherheitszentrums NCSC ist abgeschaltet. Der Hoster Mijndomein hat laut eigener Hilfeseite ab 13:35 Uhr sämtliche Kundenwebsites vom Netz genommen, auch Managed WordPress und WooCommerce. Im Lauf des Nachmittags kamen laut NOS mehrere Krankenhäuser, Fußballvereine und in Belgien die Websites der flämischen Regierung dazu. Abgeschaltet heißt nicht gehackt: Es sind Vorsichtsmaßnahmen bis zum Update.

Exploit-Code aufgetaucht. Das österreichische Computer-Notfallteam CERT.at hat seine Warnung am 21. Oktober ergänzt: Im Internet ist Exploit-Code aufgetaucht, also ein Programm, das die Lücken ausnutzen soll. Ob er funktioniert, kann CERT.at nicht bestätigen. Auch das Sicherheitsunternehmen Tenable hat das nicht überprüft und warnt, solcher Code könne selbst Schadsoftware enthalten.

Weitere Angriffsmeldungen. Das Sicherheitsunternehmen Patchstack schreibt, mehrere Hostingpartner hätten ihm aktive Ausnutzung gemeldet. Das niederländische NCSC und die PHP Foundation hatten laut NOS am frühen Nachmittag noch keinen Missbrauch festgestellt. Das NCSC hält jedes aus dem Internet erreichbare System mit PHP für vermutlich verwundbar, solange das Update fehlt.

Filterregeln sind nur eine Überbrückung. Die Regeln von Cloudflare wirken nur bei Zugriffen, die über Cloudflare laufen. Auch Änderungen an der PHP-Konfiguration schließen die Lücken laut PHP nicht vollständig. Das Update ersetzen sie nicht.

Vorsorgliche Abschaltungen. Das Rechenzentrum der Universität Freiburg hat am Vormittag mehrere zentrale Systeme vom Netz genommen, bis der Patch eingespielt ist. Die Stadt Mainz hat laut der Nachrichtenagentur dpa ihr Portal mainz.de und weitere städtische Internetdienste vorübergehend abgeschaltet, Ämter blieben telefonisch und per E-Mail erreichbar. Das sind Vorsichtsmaßnahmen, keine Angriffe.

Welche Websites sind betroffen?

PHP ist eine Programmiersprache, die auf dem Server läuft, nicht im Browser. Systeme wie WordPress, Joomla oder viele Shoplösungen bauen darauf auf. Gefährdet sind laut PHP aber alle Installationen, die Webanfragen bearbeiten und noch nicht aktualisiert sind, am stärksten Apache mit mod_php.

Fertige Updates gibt es für die Versionen 8.2, 8.3, 8.4 und 8.5. Für 8.1, 8.0 und 7.4 gibt es nur die erwähnten Quellcode-Korrekturen, für noch ältere Versionen nichts. Linux-Distributionen und manche Hoster bauen Sicherheitskorrekturen allerdings selbst in ältere Pakete ein. Eine alte Versionsnummer allein beweist also nicht, dass der Schutz fehlt, und eine neue beweist ihn nur, wenn sie zu den korrigierten Versionen gehört. Ein Detail für die Planung: PHP 8.2 bekommt laut php.net nur noch bis 31. Dezember 2026 Sicherheitsupdates.

Was du jetzt tun solltest

• Version nachsehen. Die PHP-Version steht meist im Kundenbereich des Hosters. Bei WordPress findest du sie unter Werkzeuge, „Website-Zustand“, Reiter „Bericht“, Abschnitt „Server“. Eine öffentliche Testseite mit allen Servereinstellungen ist dafür nicht nötig und sollte nicht im Netz stehen bleiben.
• Zuständigkeit klären. Bei gewöhnlichem Webhosting spielt der Hoster das PHP-Update ein. Bei einem eigenen Server ist es, wer ihn betreut.
• Bestätigung vom Hoster holen. Am besten heute schriftlich, und zwar nicht nur zur Versionsnummer: Lass dir bestätigen, dass beide Lücken, CVE-2026-109618 und CVE-2026-109619, geschlossen sind. CERT.at weist darauf hin, dass die Pakete der Linux-Distributionen oft später erscheinen als die Version auf php.net.
• Eigener Server? Dann die korrigierten PHP-Pakete einspielen, unter Debian und Ubuntu über die normale Paketverwaltung, und PHP danach neu starten. Einstellungen und Firewall-Regeln sind nur eine Überbrückung.
• Alte Versionen ernst nehmen. Läuft die Website noch auf PHP 8.1 oder älter, führt an einem Umstieg auf eine unterstützte Version kein Weg vorbei. Dabei können ältere Plugins oder Themes Probleme machen. Vorher eine Sicherung anlegen und nach dem Umstieg die wichtigsten Seiten durchklicken.

Wichtig: Ein Update von WordPress oder einem Plugin ersetzt das PHP-Update nicht. PHP ist eine eigene Software auf dem Server. Umgekehrt können automatische Updates sehr wohl helfen, wenn der Server sie über die Paketverwaltung bezieht. Ob das bei dir so ist, weiß dein Hoster.

Und wenn das Update nicht rasch eingespielt werden kann? CERT-EU rät für diesen Fall weiterhin, öffentlich erreichbare Anwendungen bis dahin vom Netz zu isolieren, CERT.at nennt das Herunterfahren als Möglichkeit. Für eine kleine Firmenwebsite beim Hoster ist das keine Entscheidung, die du allein treffen musst: Frag zuerst dort nach.

Was das für Betriebe in der Region heißt

Das Thema betrifft viele Betriebe in Baden und im Bezirk, vom Heurigen mit Tischreservierung über die Vereinsseite bis zum Geschäft mit Onlineshop. Die wenigsten betreuen ihren Server selbst, und genau deshalb lohnt sich heute eine kurze Mail an den Hoster oder die Agentur, die die Website gebaut hat. Wer schon dabei ist, prüft gleich, ob die Zugangsdaten zum Hosting noch auffindbar sind. Weitere Warnungen, die Betriebe betreffen, findest du in der Rubrik Lokale Wirtschaft, etwa zu betrügerischen Anrufen wegen eines Brancheneintrags oder zu falschen Nachrichten im Namen des Finanzamts.

Chronologie

• 20. Oktober, 22:32 Uhr: PHP kündigt das Sicherheitsupdate für den 21. Oktober an.
• 20. Oktober, abends: CERT-EU veröffentlicht die Warnung 2026-018 mit den Kennungen CVE-2026-109618 und CVE-2026-109619.
• 20. Oktober, 23:20 Uhr: CERT.at warnt vor dem bevorstehenden Update.
• 21. Oktober, 5:02 Uhr: Cloudflare aktiviert laut eigenem Blog Schutzregeln, auch für kostenlose Tarife.
• 21. Oktober, 10:39 Uhr: Das Rechenzentrum der Universität Freiburg meldet vorsorgliche Abschaltungen.
• 21. Oktober, 12:48 Uhr: In den Niederlanden gehen laut NOS DigiD und MijnOverheid offline, kurz darauf die Website der Tweede Kamer und gegen 13 Uhr RTL Nieuws.
• 21. Oktober, 13:13 Uhr: Das NCSC meldet laut NOS, bisher keinen aktiven Missbrauch beobachtet zu haben.
• 21. Oktober, im Lauf des Tages: CERT.at meldet aufgetauchten Exploit-Code.
• 21. Oktober, 13:35 Uhr: Der niederländische Hoster Mijndomein beginnt, Kundenwebsites vorsorglich abzuschalten.
• 21. Oktober, nachmittags: Die Universität Wien nimmt Websites, Webmail und Lernplattform vom Netz.
• 21. Oktober, 14:25 Uhr: dpa berichtet über die Abschaltung von mainz.de.
• 21. Oktober, gegen 15:35 Uhr: PHP veröffentlicht die Versionen 8.5.12, 8.4.27, 8.3.36 und 8.2.35 und die Sicherheitshinweise zu beiden Lücken, knapp vor dem angekündigten Termin um 16 Uhr.
• 21. Oktober, 15:55 Uhr: MeinBezirk berichtet, dass NÖN, Caritas und OTS offline sind.
• 21. Oktober, abends: Cloudflare bestätigt Angriffsversuche, WordPress veröffentlicht eine eigene Warnung. Debian und Ubuntu stellen korrigierte Pakete bereit, die PHP Foundation erklärt die Verzögerung.

Mehr Baden für dich.

Dein nächster Lieblingsplatz wartet.

Neue Lokale entdecken, Ausflüge planen und wissen, was in Baden los ist – direkt in dein Postfach.

Deine E-Mail-Adresse

Ja, ich bin dabei!

Kostenlos. Jederzeit abmeldbar. Bitte bestätige deine Anmeldung per E-Mail. Es gilt unsere Datenschutzerklärung.

Baden entdecken. Jeden Tag.

Echte Einblicke, lokale Lieblingsplätze und Ideen für deine Freizeit.

@badenliefert

Auf Instagram entdecken

← Zurück zu Aktuelles aus Baden · Alle Meldungen