Achtung: BSI warnt vor Sicherheitslücke in vielen Systemen

Dringende Warnung seit heute Nachmittag: Zwei kritische Sicherheitslücken machen Webserver mit der Programmiersprache PHP angreifbar. Über die Lücken kann offenbar Schadsoftware eingeschleust werden. Betroffen scheint eine sehr große Zahl von Systemen weltweit, das PHP weit verbreitet ist, etwa als Grundlage für Wordpress. Umso deutlicher fällt der Hinweis des Bundesamtes für Sicherheit in der Informationstechnik (BSI) aus. Danach sollen seit heute, 16 Uhr, Patches verfügbar sein. Das BSI rät dazu, „unverzüglich“ entsprechende Maßnahmen zu ergreifen, um die Schwachstellen zu beseitigen und ordnet das Risiko in die zweithöchste Stufe („orange“) ein. Bei Angriffsmöglichkeiten in derart weit verbreiteten Programmiersprachen oder Bibliotheken könnte es Angreifern gelingen, massive Angriffskampagnen durchzuführen und IT-Systeme aus den unterschiedlichsten Anwendungsbereichen zu kompromittieren, so das BSI. Weitere, insbesondere technische Einzelheiten finden Sie in einer Übersicht aus dem Nationalen IT-Lagezentrum. 

Das BSI empfiehlt, die angekündigten Sicherheitsupdates unmittelbar nach ihrer Bereitstellung zu installieren. Diese ist für den 21. Oktober 2026 um 16 Uhr angekündigt. Den aktuellen Stand finden Sie auf der PHP-Seite, auf die das BSI verweist.

Falls sich die Updates nicht kurzfristig installieren lassen, kann laut BSI erwogen werden, den Webserver vorübergehend vom Internet zu trennen, um eine Kompromittierung zu verhindern.

Weitere Informationen finden Sie auch in der Sicherheitsmeldung des PHP-Teams. (pm/Os)