CVE-2026-109618 & CVE-2026-109619

Correctiv hatte heute seine Seite mit dem Hinweis auf dieses PHP Problem komplett abgeschaltet

...kam bei mir auch um 13:34h vorher per mail rein (von 'nem Anbieter, bei dem ich eigentlich schon gar nicht mehr bin - hab' mich dann praktischerweise gleich aus der Mailing-Liste ausgetragen )

Zitat

Sehr geehrter Herr [...], wir möchten Sie über eine aktuelle, kritische Sicherheitswarnung informieren, die Webseiten, Onlineshops und Webanwendungen auf Basis von PHP betrifft.

Was ist passiert? Das PHP-Projekt hat für heute, Mittwoch, 21. Oktober 2026, um 16:00 Uhr außerplanmäßige Sicherheitsupdates angekündigt. Sie schließen zwei kritische Schwachstellen, über die Angreifer aus der Ferne Schadcode auf einem Server ausführen können. Nach derzeitigem Kenntnisstand sind praktisch alle PHP-Versionen seit PHP 5 betroffen – unabhängig davon, ob z. B. WordPress, Shopware oder eine individuelle Anwendung eingesetzt wird. Es gibt bereits erste Berichte über Angriffsversuche. Eine wirksame Abhilfe ist ausschließlich das Update selbst.

Was tun wir? Wir haben die von uns betreuten Systeme mit PHP erfasst und sind vorbereitet. Sobald die aktualisierten Pakete von PHP bzw. den Linux-Distributionen bereitstehen, spielen wir sie umgehend ein – auch außerhalb der regulären Geschäftszeiten. Beim Einspielen werden PHP-Dienste bzw. Webserver neu gestartet. Dabei kann es zu kurzen Unterbrechungen von wenigen Sekunden bis Minuten kommen. Sollten wir einen sicherheitsrelevanten Angriff auf unsere Systeme feststellen, behalten wir uns gegebenenfalls vor Ihre Applikation temporär abzuschalten, damit kein Zugriff mehr von außen möglich ist.

Wichtiger Hinweis zum Zeitplan Da weltweit nahezu jeder Betreiber von PHP-Systemen die Updates zeitgleich ab 16:00 Uhr abrufen wird, rechnen wir mit einer starken Überlastung der Server, über die die Updates verteilt werden (Paketquellen der Distributionen und deren Spiegelserver). Zudem stellen die Linux-Distributionen ihre fertigen Pakete erfahrungsgemäß erst einige Stunden nach der offiziellen Veröffentlichung bereit. Es kann daher sein, dass die Aktualisierung nicht unmittelbar um 16:00 Uhr, sondern erst im Laufe des Abends oder der Nacht abgeschlossen werden kann. Wir bleiben durchgehend dran und informieren Sie, sobald Ihre Systeme abgesichert sind.

Was können Sie tun? Für die von uns betreuten Systeme müssen Sie nichts weiter veranlassen. Betreiben Sie zusätzlich eigene Server oder Webseiten bei anderen Anbietern, sorgen Sie bitte dafür, dass dort die Updates ebenfalls zeitnah eingespielt werden, bzw. wenden Sie sich an den jeweiligen Hoster. Bei besonders kritischen Anwendungen (z. B. Shops mit Kundendaten) besteht als Vorsichtsmaßnahme die Möglichkeit, die Webseite bis zum Abschluss des Updates vorübergehend vom Netz zu nehmen oder in einen Wartungsmodus zu versetzen. Sprechen Sie uns bitte kurzfristig an, wenn Sie dies wünschen.

Alles anzeigen

...da bin ich aktuell entspannt - denke mal nicht, daß sich da aktuell Millionen von Hackern auf Milliarden von Webseiten stürzen

...Backups hab' ich massig und meine Server update ich gemütlich morgen früh - Die Firewall wird's aushalten

Ich habe das Update schon installiert...