FAQ · Datenschutz, Informationssicherheit und Notfallmanagement
Wie finden wir schnell alle PHP-Systeme bei Schwachstellen?
Freigegebene Antwort von Qvestcon mit Fundstellen.
Antwort
Das BSI warnt vor zwei kritischen PHP-Schwachstellen (CVE-2026-109618 und CVE-2026-109619, CVSS 4.0: 9,2 von 10). Angreifer könnten aus der Ferne Schadcode auf Webservern mit PHP-Anwendungen ausführen, eine Anmeldung und eine Nutzerinteraktion sind laut Bewertung nicht nötig. Patches liegen seit dem 21. Oktober 2026 vor.
Hersteller von Netzwerkkomponenten veröffentlichen inzwischen Hinweise, weil PHP mitunter in ihren Produkten integriert ist. Für CISO und COO beginnt die Reaktion deshalb bei der Bestandsübersicht: Welche Eigenentwicklungen, Standardprodukte, Appliances und Dienstleisterlösungen enthalten PHP? Das Thema gehört in das IKT-Drittparteienrisikomanagement nach DORA und in den Schwachstellenprozess des ISMS. Dem BSI ist Stand 22. Oktober 2026 keine erfolgreiche Ausnutzung in der Breite bekannt.
Aus unserer Erfahrung bei Kunden aus Versicherung und Bank liegt die Verzögerung selten am Patch selbst. Es fehlt die Übersicht, wo PHP überall läuft. Markus Junge empfiehlt, diese Liste einmal aufzubauen und im Konfigurationsbestand dauerhaft zu pflegen.
In der Praxis
Der CISO lässt eine Liste aller PHP-Anwendungen und aller Produkte mit eingebautem PHP erstellen, auch bei Dienstleistern, spielt die bereitgestellten Patches ein und ruft die Hinweise der Hersteller von Netzwerkkomponenten ab.
- Jedes Produkt der Liste hat einen Verantwortlichen und einen dokumentierten Patchstand.
- Dienstleister melden schriftlich, ob und in welcher Version sie PHP betreiben und wann sie gepatcht haben.
- Betroffene Netzwerkgeräte sind anhand der Herstellerhinweise nachgezogen.
Nachweis: Als Nachweis dient die Produktliste mit Patchstand, Datum und Verantwortlichem je Zeile.