PHP-Sicherheitslücken: Warum Sicherheit bei uns vor Erreichbarkeit geht
Eine vorübergehend nicht erreichbare Website ist ärgerlich. Ein kompromittierter Server kann jedoch erheblich schwerwiegendere Folgen haben. Deshalb gilt für die Frank Miller GmbH: Sicherheit geht vor – auch dann, wenn dafür Dienste zeitweise vom Netz genommen werden müssen.
Was ist passiert? Zwei kritische PHP-Sicherheitslücken
Am 20. Oktober 2026 kündigte das PHP-Sicherheitsteam ein außerplanmäßiges Sicherheitsrelease für den 21. Oktober 2026 um 14:00 Uhr UTC, also 16:00 Uhr deutscher Sommerzeit (MESZ) an. Die beiden Schwachstellen wurden jeweils mit 9,2 Punkten nach CVSS v4.0 als kritisch bewertet. Das PHP-Team erklärte, dass betroffene Versionen, behobene Versionen und vollständige technische Details mit dem Release veröffentlicht werden.
Die Sicherheitsmeldungen ordnen die Schwachstellen den Kennungen CVE-2026-109618 und CVE-2026-109619 zu und beschreiben sie als Remote-Code-Execution-Lücken, kurz RCE. Die offizielle Vorankündigung und die Einordnung von Tenable sind unten als Quellen verlinkt.
Was bedeutet RCE einfach erklärt?
Remote Code Execution bedeutet, dass Angreifer unter bestimmten Voraussetzungen aus der Ferne eigenen Code auf einem verwundbaren System ausführen können. Welche Möglichkeiten daraus entstehen, hängt unter anderem von den Rechten des betroffenen Prozesses und der Serverkonfiguration ab. Im ungünstigen Fall können Daten, Anwendungen und weitere erreichbare Systeme gefährdet werden.
PHP wird von vielen Websites und Webanwendungen verwendet. Deshalb ist ein solches Sicherheitsupdate nicht nur für Entwickler relevant, sondern ebenso für Administratoren, Betreiber und Unternehmen mit PHP-basierten Diensten. Nicht jede Website oder jeder App-Service nutzt PHP; die tatsächliche Betroffenheit muss anhand der eingesetzten Laufzeitumgebung geprüft werden.
Unsere Reaktion: Webserver vorsorglich über die Firewall abgeschirmt
Nach Bekanntwerden des Problems haben wir als Frank Miller GmbH unsere Webserver vorsorglich über die Firewall gegen externe Zugriffe abgeschirmt. Dadurch waren unsere Webseiten sowie die betroffenen App-Services unserer Kunden vorübergehend nicht erreichbar.
Diese Unterbrechung war eine gezielte Sicherheitsentscheidung. Statt einen möglicherweise verwundbaren Dienst bis zum Erscheinen des Updates weiter öffentlich erreichbar zu lassen, haben wir die Erreichbarkeit bewusst eingeschränkt. Wie wir Zugriffe, Netzwerkzonen und Schutzmaßnahmen planen, erläutern wir bei unserer Firewall- und Sophos-Beratung.
„Lieber nehmen wir eine vorübergehende Unterbrechung in Kauf, als ein vermeidbares Sicherheitsrisiko für unsere Kunden einzugehen. Sicherheit hat bei uns Vorrang.“
Warum die Unterbrechung kein Fehler unserer Webseiten war
Die gemeldeten Schwachstellen lagen in PHP, einer von zahlreichen Anbietern eingesetzten Softwarekomponente. Die Nicht-Erreichbarkeit war dagegen die Folge unserer vorsorglichen Abschirmung – nicht eines von uns verursachten Fehlers im Website-Code.
Als IT-Security-Unternehmen ist es unsere Aufgabe, auf bekannte Risiken zu reagieren und die betreuten Dienste zu schützen. Eine Schwachstelle in Drittsoftware können wir nicht selbst durch ein offizielles Herstellerupdate ersetzen. Wir können jedoch die Angriffsfläche reduzieren und nach Verfügbarkeit des Patches die betroffenen Systeme aktualisieren.
Erst nach dem Patch wieder online
Die betroffenen Systeme gingen erst wieder online, nachdem der Patch verfügbar war und auf den betreffenden Systemen installiert wurde. Die reine Ankündigung eines Updates war für uns kein Anlass, die Abschirmung aufzuheben.
Wichtig ist dabei: Ein Sicherheitsupdate schließt die adressierten Schwachstellen, ist aber keine pauschale Garantie für die Sicherheit einer gesamten Anwendung. Ebenso beweist eine vorübergehende Sperrung allein nicht, dass ein System zuvor unangreifbar war. Schutz, Aktualisierung und nachvollziehbare Kontrollen gehören zusammen.
Wie gut ist Ihre IT auf die nächste kritische Sicherheitsmeldung vorbereitet?
Frank Miller und die Frank Miller GmbH beraten Unternehmen zu IT-Sicherheit, Firewall-Konzepten und der Absicherung ihrer Infrastruktur. Wir betrachten Ihre Situation individuell und entwickeln passende Maßnahmen statt pauschaler Standardempfehlungen.
IT-Sicherheitsberatung unverbindlich anfragen →Was Administratoren bei kritischen PHP-Lücken prüfen sollten
- Bestandsaufnahme: Wo läuft PHP? Prüfen Sie Webserver, Container und App-Services sowie unterschiedliche PHP-Versionen für Kommandozeile und Webbetrieb.
- Betroffenheit klären: Vergleichen Sie die eingesetzten Versionen mit dem offiziellen PHP-Advisory und den Meldungen Ihres Betriebssystem- oder Hosting-Anbieters.
- Externe Erreichbarkeit begrenzen: Bewerten Sie, ob betroffene Dienste vorübergehend abgeschirmt werden müssen. Eine vorhandene Firewall allein ersetzt kein Sicherheitsupdate.
- Herstellerupdates installieren: Nutzen Sie freigegebene Pakete und beachten Sie mögliche verzögerte Verfügbarkeit beim jeweiligen Anbieter.
- Laufende Prozesse kontrollieren: Stellen Sie sicher, dass auch die tatsächlich verwendeten PHP-Prozesse mit der korrigierten Version laufen; berücksichtigen Sie notwendige Neustarts.
- Vor Freigabe prüfen: Testen Sie die Anwendung, kontrollieren Sie Protokolle auf Auffälligkeiten und dokumentieren Sie Änderungen sowie die Freigabe.
Auch abseits von PHP sollten Administratoren Identitäten, Berechtigungen und Sicherheitsrichtlinien verstehen. Für Microsoft-Cloud-Umgebungen vermittelt unsere Microsoft 365 Admin Schulung diese Grundlagen praxisnah. Sie ist keine PHP-Schulung, ergänzt aber ein umfassendes Sicherheitsverständnis für die Unternehmens-IT.
IT-Sicherheit ist mehr als ein einzelnes Update
Zu einem belastbaren Sicherheitskonzept gehören geregelte Updates, klar definierte Zugriffe, getrennte Netzwerkbereiche und ein Vorgehen für Notfälle. Wir unterstützen Unternehmen bei der Planung und Umsetzung ihrer IT-Sicherheit. Der Schutz der Systeme selbst gehört ebenfalls dazu; mehr dazu finden Sie bei unserem Endpoint- und Server-Schutz.
Häufige Fragen zu den PHP-Sicherheitslücken
Welche PHP-Schwachstellen wurden gemeldet?
Die Meldungen nennen CVE-2026-109618 und CVE-2026-109619. Das PHP-Team kündigte ein Sicherheitsrelease gegen zwei kritische Schwachstellen mit jeweils CVSS v4.0 9,2 an. Verbindliche Details zu betroffenen und korrigierten Versionen liefert die offizielle Release-Dokumentation.
Warum waren die Webseiten und betroffenen App-Services nicht erreichbar?
Wir haben unsere Webserver nach Bekanntwerden des Risikos vorsorglich über die Firewall abgeschirmt. Die Unterbrechung war eine bewusst gewählte Schutzmaßnahme gegen mögliche externe Angriffe.
Ersetzt eine Firewall das PHP-Sicherheitsupdate?
Nein. Firewall-Regeln können die Erreichbarkeit und damit die Angriffsfläche begrenzen. Die Schwachstellen in der PHP-Laufzeitumgebung müssen dennoch durch ein geeignetes Sicherheitsupdate behoben werden.
Sind auch Anwendungen ohne PHP betroffen?
Aus diesen PHP-Meldungen folgt nicht, dass Anwendungen ohne PHP ebenfalls betroffen sind. Entscheidend sind die tatsächlich verwendeten Komponenten, Versionen und die jeweilige Architektur.
Unser Fazit: Sicherheit geht bei uns immer vor
Die PHP-Sicherheitsmeldungen haben gezeigt, warum schnelle und konsequente Schutzmaßnahmen wichtig sind. Wir haben bewusst gehandelt, statt die öffentliche Erreichbarkeit um jeden Preis aufrechtzuerhalten. Die betroffenen Dienste wurden erst nach Verfügbarkeit und Installation des Patches wieder freigegeben.
Für die Frank Miller GmbH gilt: Wir beraten nicht nur über Sicherheit – wir richten unser Handeln danach aus.
Quellen und redaktioneller Stand
- PHP-Sicherheitsteam: Ankündigung des kritischen Sicherheitsreleases
- Tenable: Einordnung von CVE-2026-109618 und CVE-2026-109619
Quellen geprüft am 21. Oktober 2026. Patchinstallation und Wiederinbetriebnahme wurden von uns bestätigt.
