--- adresse: "https://qvestcon.com/dora-update-markus-junge/informationsverbund-versicherung_401e7297/" titel: "PHP-Lücken: Patches einspielen, Produkte…" beschreibung: "Das BSI warnt vor zwei kritischen Schwachstellen in der Programmiersprache PHP (CVE-2026-109618 und…" sprache: "de-DE" stand: "2026-10-22" --- Qvestcon News # PHP-Lücken: Patches einspielen, Produkte prüfen Das BSI warnt vor zwei kritischen Schwach­stel­len in der Pro­gram­mier­spra­che PHP (CVE-2026-109618 und CVE-2026-109619, Bewertung nach CVSS 4.0: 9,2 von 10). Angreifer könnten dadurch aus der Ferne Schadcode auf Webservern mit PHP-Anwendungen ausführen. Aus den Bewertungen lässt sich ableiten, dass dafür weder eine Anmeldung noch eine Nut­zer­inter­ak­tion nötig ist. Die Entwickler haben am 21. Oktober 2026 Patches für verschiedene PHP-Versionen bereit­ge­stellt. Inzwischen ver­öf­fent­li­chen auch Hersteller von Netz­werk­kom­po­nen­ten Hinweise, weil PHP mitunter in ihren Produkten steckt. Dem BSI ist Stand 22. Oktober 2026 keine erfolgreiche Ausnutzung in der Breite bekannt. Praktisch heißt das in dieser Reihenfolge: Erstens eine Liste aller PHP-Anwendungen und aller Produkte mit eingebautem PHP erstellen, auch bei Dienst­leis­tern. Zweitens die bereit­ge­stell­ten Patches einspielen. Drittens die Hinweise der Hersteller von Netz­werk­kom­po­nen­ten abrufen und die betroffenen Geräte nachziehen. Umgesetzt ist die Maßnahme, wenn jedes Produkt der Liste einen doku­men­tier­ten Patchstand hat. Aus unserer Erfahrung bei Kunden aus Versicherung und Bank scheitert die schnelle Reaktion selten am Patch, sondern an der fehlenden Übersicht, wo PHP überall läuft. [Cyber](https://qvestcon.com/news/cyber/)22.10.2026 Das BSI warnt vor zwei kritischen Schwach­stel­len in der Pro­gram­mier­spra­che PHP (CVE-2026-109618 und CVE-2026-109619, Bewertung nach CVSS 4.0: 9,2 von 10). Angreifer könnten dadurch aus der Ferne Schadcode auf Webservern mit PHP-Anwendungen ausführen. Aus den Bewertungen lässt sich ableiten, dass dafür weder eine Anmeldung noch eine Nut­zer­inter­ak­tion nötig ist. Die Entwickler haben am 21. Oktober 2026 Patches für verschiedene PHP-Versionen bereit­ge­stellt. Inzwischen ver­öf­fent­li­chen auch Hersteller von Netz­werk­kom­po­nen­ten Hinweise, weil PHP mitunter in ihren Produkten steckt. Dem BSI ist Stand 22. Oktober 2026 keine erfolgreiche Ausnutzung in der Breite bekannt. Praktisch heißt das in dieser Reihenfolge: Erstens eine Liste aller PHP-Anwendungen und aller Produkte mit eingebautem PHP erstellen, auch bei Dienst­leis­tern. Zweitens die bereit­ge­stell­ten Patches einspielen. Drittens die Hinweise der Hersteller von Netz­werk­kom­po­nen­ten abrufen und die betroffenen Geräte nachziehen. Umgesetzt ist die Maßnahme, wenn jedes Produkt der Liste einen doku­men­tier­ten Patchstand hat. Aus unserer Erfahrung bei Kunden aus Versicherung und Bank scheitert die schnelle Reaktion selten am Patch, sondern an der fehlenden Übersicht, wo PHP überall läuft. - [#Banken](https://qvestcon.com/stichwoerter/b/#banken) - [#Versicherer](https://qvestcon.com/stichwoerter/v-z/#versicherer) - [#Finanz­dienst­leis­ter](https://qvestcon.com/stichwoerter/f-h/#finanzdienstleister) - [#Prü­fungs­pla­nung](https://qvestcon.com/stichwoerter/p-r/#pruefungsplanung) - [#Qvestcon](https://qvestcon.com/stichwoerter/p-r/#qvestcon) - [#MarkusJunge](https://qvestcon.com/stichwoerter/m-o/#markusjunge) - [#ITSicherheit](https://qvestcon.com/stichwoerter/i-j/#itsicherheit) - [#Schwach­stel­len­ma­nage­ment](https://qvestcon.com/stichwoerter/s-u/#schwachstellenmanagement) [Ori­gi­nal­quelle: BSI Cyber­si­cher­heits­war­nung →](https://www.bsi.bund.de/SharedDocs/Cybersicherheitswarnungen/DE/2026/2026-297981-1032_bits.html) Diese Einordnung bezieht sich auf die verlinkte Ori­gi­nal­quelle. Sie ist keine Rechts­be­ra­tung im Einzelfall. [Kostenloses Erstgespräch anfragen →](https://qvestcon.com/kontakt/?von=News%3A%20PHP-L%C3%BCcken%3A%20Patches%20einspielen%2C%20Produkte%20pr%C3%BCfen#erstgespraech) [Weitere Meldungen in Cyber](https://qvestcon.com/news/cyber/) · [alle Qvestcon-News](https://qvestcon.com/news/)