Kritische PHP-Lücken: BSI warnt vor Angriffen binnen Stunden

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) ruft Betreiber von PHP-Webanwendungen dazu auf, angekündigte Sicherheitsupdates unverzüglich einzuspielen. Die Veröffentlichung ist für den 21. Oktober 2026 um 16 Uhr deutscher Zeit vorgesehen. Organisationen sollen dafür Personal bereithalten und die Aktualisierung ihrer Server vorbereiten.

Nach Angaben des BSI sind alle bekannten PHP-Versionen bis mindestens PHP 5 zurück betroffen. Damit reicht die mögliche Gefährdung weit über aktuelle Installationen hinaus. Die weltweit verbreitete Programmiersprache bildet die technische Grundlage zahlreicher Webanwendungen. Eine breite Ausnutzung könnte deshalb Systeme aus sehr unterschiedlichen Einsatzbereichen treffen.

Schadcode aus der Ferne als mögliches Angriffsszenario

Das BSI schließt nicht aus, dass Angreifer über die Schwachstellen schadhaften Code aus der Ferne auf betroffenen Webservern ausführen können. Eine solche Möglichkeit würde über die Manipulation einzelner Webseiten hinausreichen: Je nach Berechtigungen der betroffenen Anwendung könnten auch Daten und weitere Funktionen des Servers gefährdet sein.

Die Warnung beschreibt damit ein erhebliches Schadenspotenzial. Sie ist jedoch von der Feststellung bereits laufender Angriffskampagnen zu unterscheiden. Die Behörde hält eine kurzfristige Ausnutzung für wahrscheinlich; eine bestätigte flächendeckende Kompromittierung ergibt sich daraus nicht.

Warum veröffentlichte Patches das Angriffstempo erhöhen können

Sicherheitsupdates schließen Lücken, liefern Angreifern aber zugleich Anhaltspunkte für deren technische Ursache. Der Vergleich verwundbarer und korrigierter Software kann helfen, Angriffscode zu entwickeln. Nach Einschätzung des BSI beschleunigt künstliche Intelligenz (KI) diesen Prozess.

BSI-Vizepräsident Thomas Caspers warnt: „Angreifer können diese mittels KI-gestützter Werkzeuge innerhalb kurzer Zeit analysieren und entsprechende Exploits generieren.“ Gemeint ist Angriffscode, der eine Schwachstelle gezielt ausnutzt. Caspers rechnet mit einer „kurzfristigen, großflächigen Ausnutzung innerhalb weniger Stunden nach Erscheinen der Sicherheitsupdates“.

Für Betreiber entsteht damit ein enges Zeitfenster zwischen verfügbarer Abhilfe und möglichen automatisierten Angriffen. Die Vorbereitung der Aktualisierung gehört deshalb bereits vor der Veröffentlichung zu den dringenden Aufgaben.

Installation prüfen und Server weiter beobachten

Mit dem Einspielen der Patches allein endet die vom BSI geforderte Reaktion nicht. Betreiber sollen anhand der zugehörigen Sicherheitsmeldung, des sogenannten Advisories, verifizieren, ob ihre PHP-Webserver tatsächlich den erforderlichen Patchstand erreicht haben. Maßgeblich sind die dort genannten korrigierten Versionen und Anwendungshinweise.

Zudem empfiehlt die Behörde, aus dem Internet erreichbare PHP-Webserver verstärkt auf Auffälligkeiten zu beobachten. Aktualisierung, Kontrolle des Patchstands und Überwachung erfüllen unterschiedliche Zwecke: Sie schließen bekannte Angriffsmöglichkeiten, prüfen die Umsetzung und helfen, verdächtige Aktivitäten zu erkennen.