Wien, 22. Oktober 2026 – Das PHP-Projekt hat gestern zwei kritische Sicherheitslücken (CVE-2026-109618 und CVE-2026-109619, jeweils CVSS 4.0: 9.2) veröffentlicht und geschlossen. Angreifer:innen können damit ohne Anmeldung Schadcode auf betroffenen Webservern ausführen und diese vollständig übernehmen. Betroffen sind praktisch alle PHP-Installationen, die Webanfragen verarbeiten, darunter PHP-FPM, Apache mit mod_php, php-cgi, FrankenPHP und LiteSpeed.
Bereits vor der Veröffentlichung haben zahlreiche Organisationen ihre Webangebote vorsorglich vom Netz genommen, in Österreich unter anderem mehrere Universitäten, Medienhäuser und Hilfsorganisationen.
„Eine Lücke dieser Tragweite betrifft nicht nur die eigene Website, sondern auch Kundenportale, Shops und Systeme bei externen Dienstleistern. Unternehmen sollten jetzt rasch klären, wo PHP im Einsatz ist und ob die Updates eingespielt sind“, sagt Gottfried Tonweber, Leiter Cybersecurity bei EY Österreich.
EY empfiehlt folgende Sofortmaßnahmen:
- Update auf PHP 8.5.12, 8.4.27, 8.3.36 oder 8.2.35. Linux-Distributionen stellen bereits aktualisierte Pakete bereit.
- Systeme mit PHP 8.1 oder älter erhalten keine offiziellen Updates mehr und sollten migriert oder über einen LTS-Anbieter abgesichert werden.
- Hosting-Partner und IT-Dienstleister aktiv kontaktieren und den Patch-Status bestätigen lassen.
- Wo kein sofortiges Update möglich ist, temporäre Konfigurationsmaßnahmen gemäß offiziellem Security Advisory umsetzen. Diese ersetzen das Update jedoch nicht.
- Logs auf Auffälligkeiten prüfen, insbesondere bei Systemen, die bereits vor dem Patch erreichbar waren.
Rascher Check mit Risikomonitor.com
Das österreichische Startup Risikomonitor.com, das mit EY im Bereich Cybersecurity und Monitoring zusammenarbeitet, bietet ein Tool an, mit dem Unternehmen überprüfen können, ob sie von den aktuellen PHP-Sicherheitslücken betroffen sind.
Zum PHP Security Check: https://php.risikomonitor.com
„Aktuell sind noch über 40.000 Webserver in Österreich und damit knapp fünf Prozent betroffen. Mit unserem Onlinetool kann man seine eigenen Systeme binnen weniger Sekunden prüfen”, so der CEO von risikomonitor, Manuel Löw-Beer.
Unterstützung durch EY
Das Cybersecurity-Team von EY Österreich unterstützt Unternehmen bei der Bestandsaufnahme betroffener Systeme, der Priorisierung und Umsetzung von Maßnahmen sowie bei der Prüfung auf mögliche Kompromittierungen.
Weitere Informationen zum Cybersecurity-Angebot von EY Österreich: EY Cybersecurity