Nach der Bekanntgabe zweier kritischer Sicherheitslücken in der Programmiersprache PHP raten Fachleute zu Maßnahmen, die über das Einspielen von Updates hinausgehen. Das berichtet tagesschau.de. Die unter dem Namen „PHP2Shell“ bekannt gewordenen Schwachstellen tragen die Kennungen CVE-2026-109618 und CVE-2026-109619. Sie erlauben es Angreifern, ohne Anmeldung aus der Ferne Schadcode auf betroffenen Servern auszuführen. Das BSI hat eine Cybersicherheitswarnung mit der Warnstufe „3 / Orange“ herausgegeben.

Die PHP-Entwickler veröffentlichten am Mittwochnachmittag aktualisierte Versionen; viele zunächst vorsorglich abgeschaltete Webseiten sind seither wieder erreichbar. Thomas Boele vom Sicherheitsunternehmen Check Point empfahl laut dpa jedoch, Logdaten rückwirkend bis zum 17. Oktober 2026 zu prüfen. An diesem Tag seien auf einem Honeypot von Amazon erste Angriffsversuche registriert worden. Auch das BSI rät, PHP-Webserver zusätzlich zu den Updates verstärkt auf Auffälligkeiten zu beobachten.

Ein weiteres Problem: Viele Unternehmen wissen laut Experten nicht genau, wo PHP bei ihnen im Einsatz ist, und Millionen Webseiten nutzen veraltete PHP-Versionen, für die es kein Update gibt. PHP ist Grundlage vieler Content-Management-Systeme wie WordPress, Joomla oder Typo3 sowie des Lernsystems Moodle.