BSI warnt vor kritischen PHP-Lücken und rät notfalls zur Trennung vom Netz

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) warnt vor zwei kritischen Schwachstellen in der Programmiersprache PHP und ruft Betreiber von Webservern auf, die Sicherheitsupdates umgehend einzuspielen; wo das nicht sofort möglich ist, sollen sie eine vorübergehende Trennung vom Internet erwägen. Nach der Pressemitteilung des BSI sind alle bekannten PHP-Versionen bis mindestens PHP 5 verwundbar; es lasse sich nicht ausschließen, dass Angreifer aus der Ferne Schadcode auf Webservern mit PHP-Anwendungen ausführen. Wie angekündigt stellten die Entwickler die Patches am Mittwochnachmittag bereit. BSI-Vizepräsident Thomas Caspers hält eine großflächige Ausnutzung innerhalb weniger Stunden danach für wahrscheinlich, weil Angreifer die Updates mit KI-gestützten Werkzeugen rasch analysieren und daraus Angriffscode erzeugen könnten.

In seiner Cybersicherheitswarnung stuft das BSI die Kritikalität mit 3 von 4 ein, Stufe Orange: Maßnahmen müssten unverzüglich ergriffen werden, eine massive Beeinträchtigung des Regelbetriebs sei möglich. Es geht um die Lücken CVE-2026-109618 und CVE-2026-109619, die im Bewertungssystem CVSS jeweils 9,2 von 10 Punkten erreichen. Für eine Ausnutzung sind nach Einschätzung des Amtes weder eine Anmeldung noch ein Zutun der Nutzer nötig.

Behoben sind die Fehler laut dem Sicherheitshinweis des PHP-Projekts in den Versionen 8.5.12, 8.4.27, 8.3.36 und 8.2.35. Gefährdet sind demnach alle PHP-Installationen, die Webanfragen verarbeiten, darunter PHP-FPM, php-cgi und Apache mit mod_php; bei mod_php sieht das Sicherheitsteam das höchste Risiko. Für die nicht mehr gepflegten Versionen 7.4, 8.0 und 8.1 stellte es Minimal-Backports bereit. Workarounds bieten nach Einschätzung des BSI keinen vollständigen Schutz. Bestätigte Angriffe über die Lücken waren dem Amt zum Zeitpunkt seiner Warnung nicht bekannt; Berichte über erste Angriffsversuche in sozialen Medien ließen sich nicht verifizieren.

Mehrere Einrichtungen in Berlin und Brandenburg nahmen ihre Websites zwischenzeitlich vom Netz, darunter das Robert-Koch-Institut, die Charité, die Bundespolizei, der Zoll und das Bundesinnenministerium, berichtet der rbb am Mittwoch. Nach 17 Uhr waren laut rbb einige Portale wieder erreichbar, etwa die von Bundesinnenministerium, BND, BKA und Zoll. Die Charité sprach laut rbb von dringenden präventiven Maßnahmen und nicht von einem Cyberangriff; die Updates sollen bis Donnerstag eingespielt sein. Auch das BSI schreibt, einige Betreiber hätten Systeme vorsorglich vom Internet getrennt, deshalb seien verschiedene Websites in Deutschland eingeschränkt erreichbar.