// COMPUTERBASE — CYBERSECURITY
Sofort updaten!: Patches schließen hochriskante Sicherheitslücken in PHP
Das BSI warnt vor einer kritischen Schwachstelle in der Programmiersprache PHP, die weltweit Webanwendungen bedroht. Angreifer könnten die Lücke ausnutzen, um schadhaften Code auszuführen. Mittlerweile stehen mehrere Patches bereit, die Administratoren schnellstmöglich aufspielen sollten.
„Mit Kenntnis derartiger Schwachstellen könnte es Angreifern gelingen, massive Angriffskampagnen durchzuführen und IT-Systeme aus den unterschiedlichsten Anwendungsbereichen zu kompromittieren“, warnt das BSI und verrät weitere Details zu den Schwachstellen, die auch als „PHP2Shell“ bezeichnet werden und Erinnerungen an die schwerwiegende Sicherheitslücke „Log4Shell“ in der Java-Bibliothek Log4j wecken.
Etwa seit 16 Uhr stehen mehrere PHP-Updates bereit, die die Sicherheitslücke schließen sollen. Auf der offiziellen Seite der PHP Foundation wird ein Update auf PHP 8.5.12, 8.4.27, 8.3.36 oder 8.2.35 empfohlen. Experten warnen: Die Updates sollten schnellstmöglich installiert werden, denn dank den heutigen Möglichkeiten mit Künstlicher Intelligenz können Angreifer überaus schnell Code erstellen, um die Lücke auszunutzen.
Wir halten eine kurzfristige, großflächige Ausnutzung innerhalb weniger Stunden nach Erscheinen der Sicherheitsupdates für wahrscheinlich: Angreifer können diese mittels KI-gestützter Werkzeuge innerhalb kurzer Zeit analysieren und entsprechende Exploits generieren. Es besteht also unverzüglicher Handlungsbedarf!
Mit Freigabe der Updates sind jetzt auch weitere Details zu den Lücken bekannt:
Normalerweise werden zuerst Sicherheitslücken per Updates behoben und dann wird über sie gesprochen. Doch dieses Mal lief es anders: Am Dienstagnachmittag hatte The PHP Group ein Update für zwei bereits mit einer CVC-Karteinummer versehene, sehr kritische Sicherheitslücken in PHP für heute 16 Uhr mitteleuropäischer Zeit angekündigt.
Mit dieser Ankündigung sollte es Admins weltweit ermöglicht werden, die Patches bei Freigabe schnellstmöglich einzuspielen. Denn in Zeiten Künstlicher Intelligenz mit exzellentem Code-Verständnis liegt auf der Hand, dass ein Patch, der eine Lücke schließt, diese Lücke offenlegt – und ausnutzbar macht.
The PHP security team would like to give advance notice of an upcoming security release.
It is scheduled for Wednesday, 21 October 2026 at 14:00 UTC.
It addresses two critical vulnerabilities, both rated CVSS v4.0 9.2.