Nach der Warnung vor zwei kritischen Sicherheitslücken in PHP arbeiten Betreiber an der Absicherung ihrer Webdienste. Auch deutsche Einrichtungen schränkten den Zugang vorsorglich ein. Seit dem 21. Oktober stehen korrigierte PHP-Versionen bereit. Am Donnerstag meldet die Technische Universität Chemnitz Fortschritte bei der Wiederfreigabe betroffener Angebote.
PHP verarbeitet auf vielen Webservern die Anfragen von Internetseiten und Anwendungen. Die jetzt behobenen Fehler betreffen die interne Verarbeitung dieser Anfragen. Nach Angaben des PHP-Sicherheitsteams können sie es Angreifern ermöglichen, ohne vorherige Anmeldung eigenen Code auf einem verwundbaren Server auszuführen. Die Kennungen lauten CVE-2026-109618 und CVE-2026-109619.
Die Entwickler nennen PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35 als korrigierte Versionen der unterstützten Reihen. Gefährdet sind unterschiedliche Betriebsarten von PHP-Webservern; ein gewöhnlicher Browserfehler ist es nicht. Das Sicherheitsteam fordert Betreiber zum umgehenden Aktualisieren auf. Für ältere PHP-Reihen sollten sie beim jeweiligen Anbieter nach Sicherheitskorrekturen fragen oder auf eine unterstützte Version wechseln.
Welche Folgen die Warnung hatte, zeigt die TU Chemnitz: Sie begrenzte am Mittwoch den Zugriff auf einen Teil ihrer Webdienste auf das Campusnetz. In einem Update vom 22. Oktober um 10.10 Uhr teilte das Universitätsrechenzentrum mit, an der Freischaltung seiner betroffenen Systeme zu arbeiten. Nicht zentral administrierte Systeme bleiben dort zunächst gesperrt, bis die Verantwortlichen die erforderlichen Maßnahmen nachgewiesen haben.
Auch die Stadt Offenbach nahm am Mittwoch mehrere Systeme vorsorglich vom Netz, darunter das politische Informationssystem, den Bewerbermanager und eine Datenaustauschplattform. Bereits um 18.20 Uhr meldete sie, dass die abgeschalteten Angebote wieder genutzt werden könnten.
Eine vorsorgliche Abschaltung bedeutet für sich genommen noch keinen nachgewiesenen Angriff oder Datendiebstahl. Ebenso schützt die bloße Verfügbarkeit eines Updates einen Server erst dann, wenn die Korrektur dort tatsächlich eingespielt ist. Verantwortliche für Websites sollten deshalb den Patchstatus mit ihrem Hostinganbieter oder ihrer IT-Verwaltung klären. Die genannten Freigaben einzelner Einrichtungen sind keine Entwarnung für alle PHP-Webserver.
