Das BSI warnt vor zwei kritischen Schwachstellen in der Programmiersprache PHP (CVE-2026-109618 und CVE-2026-109619, Bewertung nach CVSS 4.0: 9,2 von 10). Angreifer könnten dadurch aus der Ferne Schadcode auf Webservern mit PHP-Anwendungen ausführen. Aus den Bewertungen lässt sich ableiten, dass dafür weder eine Anmeldung noch eine Nutzerinteraktion nötig ist. Die Entwickler haben am 21. Oktober 2026 Patches für verschiedene PHP-Versionen bereitgestellt. Inzwischen veröffentlichen auch Hersteller von Netzwerkkomponenten Hinweise, weil PHP mitunter in ihren Produkten steckt. Dem BSI ist Stand 22. Oktober 2026 keine erfolgreiche Ausnutzung in der Breite bekannt. Praktisch heißt das in dieser Reihenfolge: Erstens eine Liste aller PHP-Anwendungen und aller Produkte mit eingebautem PHP erstellen, auch bei Dienstleistern. Zweitens die bereitgestellten Patches einspielen. Drittens die Hinweise der Hersteller von Netzwerkkomponenten abrufen und die betroffenen Geräte nachziehen. Umgesetzt ist die Maßnahme, wenn jedes Produkt der Liste einen dokumentierten Patchstand hat. Aus unserer Erfahrung bei Kunden aus Versicherung und Bank scheitert die schnelle Reaktion selten am Patch, sondern an der fehlenden Übersicht, wo PHP überall läuft.