PHP bereitet ein kritisches Sicherheitsupdate vor, das für den 21. Oktober 2026 geplant ist, nachdem zwei Schwachstellen identifiziert wurden, die beide einen CVSS-v4-Score von 9.2 aufweisen und damit in die Kategorie kritische Schwere eingestuft werden. Die PHP Foundation kündigte die bevorstehende Veröffentlichung am 20. Oktober an, forderte die Nutzer auf, sich auf ein sofortiges Update vorzubereiten, und warnte, dass die Fixes früher als geplant erscheinen könnten, sollten Exploit-Details öffentlich werden oder Hinweise auf aktive Ausnutzung auftauchen.

Die Veröffentlichung ist für 14:00 UTC angesetzt, was 15:00 BST entspricht. Parallel zur Ankündigung der PHP Foundation hat das britische National Cyber Security Centre (NCSC) Organisationen aufgefordert, verwundbare Systeme zu identifizieren und sich darauf vorzubereiten, die Patches sobald wie möglich zu installieren. Wo eine zeitnahe Behebung nicht möglich sei, so die Behörde, sollten Organisationen erwägen, betroffene Systeme offline zu nehmen, bis die Risiken gemindert werden können.

Vorzeitiger Hinweis gibt Administratoren ein Vorbereitungsfenster

Die frühzeitige Warnung der PHP Foundation soll Administratoren Zeit geben, sich vorzubereiten, bevor die Sicherheitsfixes verfügbar werden. Da die Veröffentlichung kurzfristig vorgezogen werden könnte, darf die Vorbereitung nicht warten, bis die Patches veröffentlicht sind.

PHP, oder PHP Hypertext Preprocessor, ist eine serverseitige Skriptsprache, die häufig zum Erstellen von Websites und Webanwendungen verwendet wird. Sie verarbeitet Backend-Logik, kommuniziert mit Datenbanken und erzeugt dynamische Inhalte, bevor Seiten an die Browser der Nutzer übermittelt werden. Diese weitverbreitete Rolle macht die Sicherheit von PHP für Organisationen wichtig, die öffentlich zugängliche Websites und Anwendungen betreiben, da Schwach in der Sprache die Systeme gefährden können, die von ihr abhängen – je nach Art der Schwachstellen und deren Ausnutzbarkeit.

Das NCSC empfiehlt, jedes System, auf dem PHP läuft, in der gesamten Infrastruktur einer Organisation zu identifizieren, wobei internetexponierte Systeme Priorität haben sollten, da sie von außerhalb direkt erreichbar sind. Administratoren sollten diese Systeme zudem auf verdächtige Aktivitäten überwachen und den offiziellen PHP-Hinweisen folgen. Die Behörde empfiehlt außerdem, Updates von Drittanbietern weiter zu verfolgen, deren Produkte oder Dienste PHP mitliefern.

Die PHP Foundation hat ihren vorzeitigen Hinweis auf X geteilt:

The PHP security team is giving advance notice: Upcoming security release Wed, Oct 21st 2026, 14:00UTC, two critical vulnerabilities, both rated CVSSv4 9.2. PHP users are encouraged to prepare to update. Earlier release if details become public or active exploit evidence.

— The PHP Foundation (@ThePHPF) October 20, 2026

Auswirkungen des Updates auf Website-Betreiber

Die geplante Veröffentlichung schafft ein unmittelbares Vorbereitungsfenster für Sicherheitsteams, Hosting-Anbieter und Anwendungsbetreiber. Sobald die Patches verfügbar sind, sollten Administratoren betroffene Systeme prüfen und die passenden Updates umgehend installieren.

Die PHP Foundation hat außerdem Nutzer gewarnt, die auf das freiwillig gepflegte Remi-RPM-Repository angewiesen sind: Updates werden dort am Veröffentlichungstag nicht verfügbar sein. Sie empfiehlt, auf Distributionspakete umzusteigen oder PHP aus dem Quellcode zu kompilieren, um die Fixes sofort anzuwenden. Diese Warnung ist für Betreiber relevant, deren Patching-Prozess von diesem Repository abhängt, da deren Fähigkeit zur schnellen Aktualisierung davon abhängen kann, vorab eine alternative Installationsmethode vorzubereiten.

Das NCSC empfiehlt zudem, Systeme offline zu nehmen, wenn eine sofortige Behebung nicht möglich ist. Diese Vorsichtsmaßnahme kann die Exposition verringern, während Administratoren an einer vollständigen Lösung arbeiten, kann jedoch die Verfügbarkeit der Website beeinträchtigen.

Für Krypto-Unternehmen, Börsen und Wallet-Anbieter, die PHP-basierte Infrastruktur betreiben, gelten dieselben Vorbereitungsgrundsätze. Jeder betroffene Dienst könnte Sicherheitsrisiken ausgesetzt sein, wenn Administratoren die Behebung nach Verfügbarkeit der Patches verzögern. Die unmittelbare Priorität ist die Vorbereitung, gefolgt von schnellem Patchen und kontinuierlicher Überwachung.

Bis das Sicherheitsupdate erscheint und seine technischen Details öffentlich sind, sollten Administratoren den offiziellen Hinweisen der PHP Foundation und des NCSC folgen, statt zu vermuten, welche Systeme verwundbar sind.

Dieser Artikel basiert auf Berichterstattung von Blockonomi.