---
adresse: "https://qvestcon.com/dora-experte-markus-junge/markus-junge-finden-schnell-php-systeme-schwachstellen_7a10f32c/"
titel: "Markus Junge: finden schnell php systeme"
beschreibung: "Das BSI warnt vor zwei kritischen PHP-Schwachstellen (CVE-2026-109618 und CVE-2026-109619, CVSS 4.0: 9,2 von 10).…"
sprache: "de-DE"
stand: "2026-11-06"
---

FAQ · Datenschutz, Infor­ma­ti­ons­si­cher­heit und Not­fall­ma­nage­ment

# Wie finden wir schnell alle PHP-Systeme bei Schwach­stel­len?

Freigegebene Antwort von Qvestcon mit Fundstellen.

## Frage teilen

Der Text enthält Titel, Kurzfassung, Quelle und den Link zu dieser Seite. Erst mit Ihrem Klick öffnet sich der gewählte Dienst; diese Seite sendet nichts an Dritte.

- [E-Mail](mailto:?subject=Wie%20finden%20wir%20schnell%20alle%20PHP-Systeme%20bei%20Schwachstellen%3F&body=Wie%20finden%20wir%20schnell%20alle%20PHP-Systeme%20bei%20Schwachstellen%3F%0A%0ADas%20BSI%20warnt%20vor%20zwei%20kritischen%20PHP-Schwachstellen%20%28CVE-2026-109618%20und%20CVE-2026-109619%2C%20CVSS%204.0%3A%209%2C2%20von%2010%29.%20Angreifer%20k%C3%B6nnten%20aus%20der%20Ferne%20Schadcode%20auf%20Webservern%20mit%20PHP-Anwendungen%20ausf%C3%BChren%2C%20eine%20Anmeldung%20und%20eine%20Nutzerinteraktion%20sind%20laut%20Bewertung%20nicht%20n%C3%B6tig.%20Patches%20liegen%20seit%20dem%2021.%20Oktober%202026%20vor.%20Hersteller%20von%20Netzwerkkomponenten%20ver%C3%B6ffentlichen%20inzwischen%20Hinweise%2C%20weil%20PHP%20mitunter%20in%20ihren%20Produkten%20integriert%20ist.%20F%C3%BCr%20CISO%20und%20COO%20beginnt%20die%20Reaktion%20deshalb%20bei%20der%20Bestands%C3%BCbersicht%3A%20Welche%20Eigenentwicklungen%2C%20Standardprodukte%2C%20Appliances%20und%20Dienstleisterl%C3%B6sungen%20enthalten%20PHP%3F%0A%0AQuelle%3A%20BSI%2C%20Cybersicherheitswarnung%20Version%201.2%3A%20PHP%20-%20Kritische%20Schwachstellen%20bedrohen%20Webanwendungen%20weltweit%2C%20https%3A%2F%2Fwww.bsi.bund.de%2FSharedDocs%2FCybersicherheitswarnungen%2FDE%2F2026%2F2026-297981-1032_bits.html%0A%0AEinordnung%20von%20Qvestcon%3A%20https%3A%2F%2Fqvestcon.com%2Fdora-experte-markus-junge%2Fmarkus-junge-finden-schnell-php-systeme-schwachstellen_7a10f32c%2F)
- [LinkedIn](https://www.linkedin.com/feed/?shareActive=true&text=Wie%20finden%20wir%20schnell%20alle%20PHP-Systeme%20bei%20Schwachstellen%3F%0A%0ADas%20BSI%20warnt%20vor%20zwei%20kritischen%20PHP-Schwachstellen%20%28CVE-2026-109618%20und%20CVE-2026-109619%2C%20CVSS%204.0%3A%209%2C2%20von%2010%29.%20Angreifer%20k%C3%B6nnten%20aus%20der%20Ferne%20Schadcode%20auf%20Webservern%20mit%20PHP-Anwendungen%20ausf%C3%BChren%2C%20eine%20Anmeldung%20und%20eine%20Nutzerinteraktion%20sind%20laut%20Bewertung%20nicht%20n%C3%B6tig.%20Patches%20liegen%20seit%20dem%2021.%20Oktober%202026%20vor.%20Hersteller%20von%20Netzwerkkomponenten%20ver%C3%B6ffentlichen%20inzwischen%20Hinweise%2C%20weil%20PHP%20mitunter%20in%20ihren%20Produkten%20integriert%20ist.%20F%C3%BCr%20CISO%20und%20COO%20beginnt%20die%20Reaktion%20deshalb%20bei%20der%20Bestands%C3%BCbersicht%3A%20Welche%20Eigenentwicklungen%2C%20Standardprodukte%2C%20Appliances%20und%20Dienstleisterl%C3%B6sungen%20enthalten%20PHP%3F%0A%0AQuelle%3A%20BSI%2C%20Cybersicherheitswarnung%20Version%201.2%3A%20PHP%20-%20Kritische%20Schwachstellen%20bedrohen%20Webanwendungen%20weltweit%2C%20https%3A%2F%2Fwww.bsi.bund.de%2FSharedDocs%2FCybersicherheitswarnungen%2FDE%2F2026%2F2026-297981-1032_bits.html%0A%0AEinordnung%20von%20Qvestcon%3A%20https%3A%2F%2Fqvestcon.com%2Fdora-experte-markus-junge%2Fmarkus-junge-finden-schnell-php-systeme-schwachstellen_7a10f32c%2F)
- [WhatsApp](https://wa.me/?text=Wie%20finden%20wir%20schnell%20alle%20PHP-Systeme%20bei%20Schwachstellen%3F%0A%0ADas%20BSI%20warnt%20vor%20zwei%20kritischen%20PHP-Schwachstellen%20%28CVE-2026-109618%20und%20CVE-2026-109619%2C%20CVSS%204.0%3A%209%2C2%20von%2010%29.%20Angreifer%20k%C3%B6nnten%20aus%20der%20Ferne%20Schadcode%20auf%20Webservern%20mit%20PHP-Anwendungen%20ausf%C3%BChren%2C%20eine%20Anmeldung%20und%20eine%20Nutzerinteraktion%20sind%20laut%20Bewertung%20nicht%20n%C3%B6tig.%20Patches%20liegen%20seit%20dem%2021.%20Oktober%202026%20vor.%20Hersteller%20von%20Netzwerkkomponenten%20ver%C3%B6ffentlichen%20inzwischen%20Hinweise%2C%20weil%20PHP%20mitunter%20in%20ihren%20Produkten%20integriert%20ist.%20F%C3%BCr%20CISO%20und%20COO%20beginnt%20die%20Reaktion%20deshalb%20bei%20der%20Bestands%C3%BCbersicht%3A%20Welche%20Eigenentwicklungen%2C%20Standardprodukte%2C%20Appliances%20und%20Dienstleisterl%C3%B6sungen%20enthalten%20PHP%3F%0A%0AQuelle%3A%20BSI%2C%20Cybersicherheitswarnung%20Version%201.2%3A%20PHP%20-%20Kritische%20Schwachstellen%20bedrohen%20Webanwendungen%20weltweit%2C%20https%3A%2F%2Fwww.bsi.bund.de%2FSharedDocs%2FCybersicherheitswarnungen%2FDE%2F2026%2F2026-297981-1032_bits.html%0A%0AEinordnung%20von%20Qvestcon%3A%20https%3A%2F%2Fqvestcon.com%2Fdora-experte-markus-junge%2Fmarkus-junge-finden-schnell-php-systeme-schwachstellen_7a10f32c%2F)
- [Microsoft Teams](https://teams.microsoft.com/share?href=https%3A%2F%2Fqvestcon.com%2Fdora-experte-markus-junge%2Fmarkus-junge-finden-schnell-php-systeme-schwachstellen_7a10f32c%2F&msgText=Wie%20finden%20wir%20schnell%20alle%20PHP-Systeme%20bei%20Schwachstellen%3F)
- [Telegram](https://t.me/share/url?url=https%3A%2F%2Fqvestcon.com%2Fdora-experte-markus-junge%2Fmarkus-junge-finden-schnell-php-systeme-schwachstellen_7a10f32c%2F&text=Wie%20finden%20wir%20schnell%20alle%20PHP-Systeme%20bei%20Schwachstellen%3F)
- [X](https://twitter.com/intent/tweet?text=Wie%20finden%20wir%20schnell%20alle%20PHP-Systeme%20bei%20Schwachstellen%3F&url=https%3A%2F%2Fqvestcon.com%2Fdora-experte-markus-junge%2Fmarkus-junge-finden-schnell-php-systeme-schwachstellen_7a10f32c%2F)
- [Facebook](https://www.facebook.com/sharer/sharer.php?u=https%3A%2F%2Fqvestcon.com%2Fdora-experte-markus-junge%2Fmarkus-junge-finden-schnell-php-systeme-schwachstellen_7a10f32c%2F)

## Antwort

Das BSI warnt vor zwei kritischen PHP-Schwach­stel­len (CVE-2026-109618 und CVE-2026-109619, CVSS 4.0: 9,2 von 10). Angreifer könnten aus der Ferne Schadcode auf Webservern mit PHP-Anwendungen ausführen, eine Anmeldung und eine Nut­zer­inter­ak­tion sind laut Bewertung nicht nötig. Patches liegen seit dem 21. Oktober 2026 vor.

Hersteller von Netz­werk­kom­po­nen­ten ver­öf­fent­li­chen inzwischen Hinweise, weil PHP mitunter in ihren Produkten integriert ist. Für CISO und COO beginnt die Reaktion deshalb bei der Bestands­über­sicht: Welche Eigen­ent­wick­lun­gen, Stan­dard­pro­dukte, Appliances und Dienst­leis­ter­lö­sun­gen enthalten PHP? Das Thema gehört in das IKT-Dritt­par­tei­en­ri­si­ko­ma­nage­ment nach DORA und in den Schwach­stel­len­pro­zess des ISMS. Dem BSI ist Stand 22. Oktober 2026 keine erfolgreiche Ausnutzung in der Breite bekannt.

Aus unserer Erfahrung bei Kunden aus Versicherung und Bank liegt die Verzögerung selten am Patch selbst. Es fehlt die Übersicht, wo PHP überall läuft. Markus Junge empfiehlt, diese Liste einmal aufzubauen und im Kon­fi­gu­ra­ti­ons­be­stand dauerhaft zu pflegen.

## In der Praxis

Der CISO lässt eine Liste aller PHP-Anwendungen und aller Produkte mit eingebautem PHP erstellen, auch bei Dienst­leis­tern, spielt die bereit­ge­stell­ten Patches ein und ruft die Hinweise der Hersteller von Netz­werk­kom­po­nen­ten ab.

- Jedes Produkt der Liste hat einen Ver­ant­wort­li­chen und einen doku­men­tier­ten Patchstand.
- Dienstleister melden schriftlich, ob und in welcher Version sie PHP betreiben und wann sie gepatcht haben.
- Betroffene Netz­werk­ge­räte sind anhand der Her­stel­ler­hin­weise nachgezogen.

**Nachweis:** Als Nachweis dient die Produktliste mit Patchstand, Datum und Ver­ant­wort­li­chem je Zeile.

## Belege

- [BSI, Cyber­si­cher­heits­war­nung Version 1.2: PHP - Kritische Schwach­stel­len bedrohen Web­an­wen­dun­gen weltweit](https://www.bsi.bund.de/SharedDocs/Cybersicherheitswarnungen/DE/2026/2026-297981-1032_bits.html)

- [#PHP](https://qvestcon.com/stichwoerter/p-r/#php)
- [#Schwach­stel­len](https://qvestcon.com/stichwoerter/s-u/#schwachstellen)
- [#BSI](https://qvestcon.com/stichwoerter/b/#bsi)
- [#Patch­ma­nage­ment](https://qvestcon.com/stichwoerter/p-r/#patchmanagement)
- [#MarkusJunge](https://qvestcon.com/stichwoerter/m-o/#markusjunge)

## Weiterlesen

[Alle Fragen zu Datenschutz, Infor­ma­ti­ons­si­cher­heit und Not­fall­ma­nage­ment](https://qvestcon.com/faq/datenschutz-sicherheit/) [Alle Rubriken der FAQ](https://qvestcon.com/faq/)