Security · 23.10.2026
Das PHP-Sicherheitsteam warnt vor einer ungepatchten RCE-Schwachstelle in bestimmten Konfigurationen und empfiehlt dringende Gegenmaßnahmen für Administratoren.
Das PHP-Sicherheitsteam hat Sicherheitsmaßnahmen für eine neu entdeckte Schwachstelle zur Remotecodeausführung (RCE) veröffentlicht. Die Sicherheitslücke ist derzeit noch ungepatcht und betrifft Systeme mit bestimmten, vom Standard abweichenden Konfigurationen. IT-Verantwortliche und Administratoren sollten umgehend prüfen, ob ihre Server gefährdet sind, und die empfohlenen Workarounds implementieren, um das Angriffsrisiko zu minimieren.
PHP bildet das Rückgrat eines Großteils der weltweiten Webinfrastruktur und wird auch in zahlreichen Unternehmen im DACH-Raum für geschäftskritische Webanwendungen, Intranets und Portale eingesetzt. Da für diese Schwachstelle noch kein offizieller Patch bereitsteht, sind betroffene Systeme bis zur Veröffentlichung eines Updates potenziell schutzlos. Angreifer könnten die Sicherheitslücke ausnutzen, um Schadcode mit den Rechten des Webservers auszuführen. Dies kann im schlimmsten Fall zur vollständigen Kompromittierung des Systems, zu Datendiebstahl oder zur Einschleusung von Ransomware führen.
Besonders brisant ist, dass die Schwachstelle zwar eine Nicht-Standard-Konfiguration voraussetzt, solche spezifischen Anpassungen in professionellen Enterprise-Umgebungen zur Leistungsoptimierung oder für spezielle Anwendungsfälle jedoch keineswegs unüblich sind. Daher darf die Bedrohung nicht unterschätzt werden.
Da kein direktes Sicherheitsupdate zur Verfügung steht, müssen Administratoren manuelle Schutzmaßnahmen ergreifen. Folgende Schritte werden dringend empfohlen:
Auch ohne sofort verfügbaren Patch lässt sich das Risiko durch gezielte Konfigurationsanpassungen und proaktive Sicherheitsmaßnahmen effektiv minimieren. IT-Abteilungen sollten die Überprüfung ihrer PHP-Umgebungen priorisieren, um Angreifern keine Angriffsfläche zu bieten.
Quelle: BleepingComputer