Die IT-Welt steht derzeit Kopf: Das PHP-Projekt hat für Mittwoch, den 21. Oktober, die Veröffentlichung von zwei gravierenden Sicherheitslücken (CVE-2026-109618 und CVE-2026-109619) angekündigt. Diese Schwachstellen, mit einem extrem hohen CVSS-Score von 9,2, bedrohen praktisch alle aktuell und sogar viele ältere PHP-Versionen – zurück bis zum über 20 Jahre alten PHP 5.
Besonders brisant: Laut Sicherheitsexperten ermöglichen die Lücken Angreifern, ungeschützte Webserver von außen komplett zu übernehmen. Erste Videobeweise zeigen, wie Systeme mit weit verbreiteten Anwendungen wie WordPress, Mediawiki, Drupal oder phpBB mit geringem Aufwand kompromittiert werden können. Der kursierende Name „PHP2Shell“ deutet bereits an, dass vollständiger Kontrollverlust über betroffene Systeme droht.
Die Dimension ist beachtlich: Schätzungen zufolge sind rund 1,3 Millionen Hosts im Internet betroffen. Besonders riskant wird es für Administratorinnen und Administratoren alter oder fehlgepatchter Systeme, die längst aus dem Support gefallen sind – und gerade solche finden sich auch heute noch zahlreich im Einsatz.
Ein Wettlauf mit der Zeit hat begonnen: Experten rechnen damit, dass Angreifer unmittelbar nach Veröffentlichung der Exploit-Details mit automatisierten Angriffen starten werden. Wer auf der sicheren Seite sein will, sollte vorbereitend alle notwendigen Maßnahmen treffen und Updates so schnell wie möglich einspielen. Es handelt sich laut der Entwickler um ein kombiniertes Wartungs- und Sicherheitsupdate, das insgesamt sieben Sicherheitskorrekturen und vier Fehlerbehebungen mitbringt. Entsprechend solltet ihr eure Installationen zügig aktualisieren.
Quelle: Agenturen
