---
adresse: "https://qvestcon.com/dora-update-markus-junge/bsi-php-updates-sofort-einspielen_72e516fd/"
titel: "BSI: PHP-Updates sofort einspielen"
beschreibung: "Das BSI hat am 21.10.2026 vor kritischen Schwachstellen in der Programmiersprache PHP gewarnt. Nach aktuellem…"
sprache: "de-DE"
stand: "2026-11-02"
---

Qvestcon News

# BSI: PHP-Updates sofort einspielen

Das BSI hat am 21.10.2026 vor kritischen Schwach­stel­len in der Pro­gram­mier­spra­che PHP gewarnt. Nach aktuellem Kenntnisstand sind alle bekannten PHP-Versionen bis mindestens PHP 5 verwundbar. Derzeit kann nicht aus­ge­schlos­sen werden, dass Angreifer aus der Ferne Schadcode auf Webservern ausführen. Die Entwickler stellten am 21.10.2026 um 16 Uhr Patches bereit. BSI-Vizepräsident Thomas Caspers hält laut BSI eine großflächige Ausnutzung innerhalb weniger Stunden nach dem Erscheinen der Updates für wahr­schein­lich, weil Angreifer die Updates mit KI-gestützten Werkzeugen analysieren können. Das BSI ruft zu drei Schritten auf. Erstens personelle Ressourcen für den Ver­öf­fent­li­chungs­zeit­punkt bereithalten. Zweitens die Patches sofort auf alle PHP-Webserver einspielen. Drittens den Patchstatus anhand des Advisories prüfen und exponierte Webserver verstärkt auf Auf­fäl­lig­kei­ten beobachten. Für Banken und Versicherer heißt das: Wer Kundenportale, Ver­mitt­ler­por­tale oder Antrags­stre­cken auf PHP betreibt, braucht eine aktuelle Liste dieser Server und einen benannten Ver­ant­wort­li­chen für das Einspielen. Umgesetzt ist die Maßnahme, wenn der Patchstand je Server belegt ist.

[Cyber](https://qvestcon.com/news/cyber/)Ver­öf­fent­licht am 31.10.2026

Das BSI hat am 21.10.2026 vor kritischen Schwach­stel­len in der Pro­gram­mier­spra­che PHP gewarnt. Nach aktuellem Kenntnisstand sind alle bekannten PHP-Versionen bis mindestens PHP 5 verwundbar. Derzeit kann nicht aus­ge­schlos­sen werden, dass Angreifer aus der Ferne Schadcode auf Webservern ausführen. Die Entwickler stellten am 21.10.2026 um 16 Uhr Patches bereit. BSI-Vizepräsident Thomas Caspers hält laut BSI eine großflächige Ausnutzung innerhalb weniger Stunden nach dem Erscheinen der Updates für wahr­schein­lich, weil Angreifer die Updates mit KI-gestützten Werkzeugen analysieren können. Das BSI ruft zu drei Schritten auf. Erstens personelle Ressourcen für den Ver­öf­fent­li­chungs­zeit­punkt bereithalten. Zweitens die Patches sofort auf alle PHP-Webserver einspielen. Drittens den Patchstatus anhand des Advisories prüfen und exponierte Webserver verstärkt auf Auf­fäl­lig­kei­ten beobachten. Für Banken und Versicherer heißt das: Wer Kundenportale, Ver­mitt­ler­por­tale oder Antrags­stre­cken auf PHP betreibt, braucht eine aktuelle Liste dieser Server und einen benannten Ver­ant­wort­li­chen für das Einspielen. Umgesetzt ist die Maßnahme, wenn der Patchstand je Server belegt ist.

- [#Banken](https://qvestcon.com/stichwoerter/b/#banken)
- [#Versicherer](https://qvestcon.com/stichwoerter/v-z/#versicherer)
- [#Finanz­dienst­leis­ter](https://qvestcon.com/stichwoerter/f-h/#finanzdienstleister)
- [#Prü­fungs­pla­nung](https://qvestcon.com/stichwoerter/m-p/#pruefungsplanung)
- [#Qvestcon](https://qvestcon.com/stichwoerter/q-s/#qvestcon)
- [#MarkusJunge](https://qvestcon.com/stichwoerter/m-p/#markusjunge)
- [#BSI](https://qvestcon.com/stichwoerter/b/#bsi)
- [#Schwach­stel­len­ma­nage­ment](https://qvestcon.com/stichwoerter/q-s/#schwachstellenmanagement)

[Ori­gi­nal­quelle: Bundesamt für Sicherheit in der Infor­ma­ti­ons­tech­nik (BSI) →](https://www.bsi.bund.de/DE/Service-Navi/Presse/Pressemitteilungen/Presse2026/261021_PHP-kritische-Schwachstelle.html)

Diese Einordnung bezieht sich auf die verlinkte Ori­gi­nal­quelle. Sie ist keine Rechts­be­ra­tung im Einzelfall.

[Kostenloses Erstgespräch anfragen →](https://qvestcon.com/kontakt/?von=News%3A%20BSI%3A%20PHP-Updates%20sofort%20einspielen#erstgespraech)

[Weitere Meldungen in Cyber](https://qvestcon.com/news/cyber/) · [alle Qvestcon-News](https://qvestcon.com/news/)