Kritische PHP-Sicherheitslücken: Ist Ihr Unternehmen betroffen?

Kritische PHP-Sicherheitslücken: Wissen Sie, ob Ihr Unternehmen betroffen ist?

 
Zwei kritische Sicherheitslücken in PHP haben sich schnell von einer technischen Sicherheitswarnung zu einer aktuellen Bedrohung entwickelt.

Die Sicherheitslücken CVE-2026-109618 und CVE-2026-109619 weisen jeweils einen CVSS-Wert von 9,2 von 10 auf und ermöglichen es Angreifern, ohne vorherige Anmeldung Schadcode auf einem anfälligen Server auszuführen. CERT-EU empfiehlt betroffenen Systemen dringend, diese umgehend zu aktualisieren. [cert.europa.eu]

Für dänische KMU geht es nicht darum, dass das Management PHP verstehen muss. Vielmehr geht es darum, dass Sie wissen, ob Ihr Unternehmen betroffen ist und wer für die Reaktion zuständig ist.

PHP könnte Teil Ihrer IT-Infrastruktur sein, ohne dass Sie es wissen.

PHP ist eine weit verbreitete Programmiersprache, die hinter vielen Websites und Webanwendungen steckt.

Es ist aber wichtig, nicht nur an die Website des Unternehmens zu denken.

PHP kann auch in kommerzielle Produkte, Geräte, Netzwerkkomponenten, Management-Schnittstellen und andere Produkte von Drittanbietern integriert werden. Daher kann PHP Teil der IT-Umgebung eines Unternehmens sein, ohne dass das Unternehmen selbst die Technologie verwaltet oder sich ihrer überhaupt bewusst ist. [github.com]

Die aktuelle Situation betrifft daher weitaus mehr Unternehmen als nur solche, die selbst PHP-Lösungen entwickeln. Beispielsweise könnte es sich um eine Website oder Webanwendung handeln, die von einer Webagentur, einem Hosting-Partner oder einem anderen externen Dienstleister verwaltet wird.

Ermitteln Sie daher die PHP-Version, die auf Ihrer Website läuft (diese finden Sie in Ihrem Hosting-Panel), und aktualisieren Sie diese so schnell wie möglich. Prüfen Sie außerdem, ob der Sicherheitspatch installiert ist, falls noch nicht geschehen. Fragen Sie Ihren Hosting-Anbieter, wer den Patch bereitstellt. Nur ein fehlerfreies PHP-System kann die Sicherheitslücken schließen.

Die relevante Frage für die meisten KMU lautet nun:

„Haben wir geklärt, ob eine unserer Lösungen betroffen ist?“

Wie gravierend sind die Sicherheitslücken?

Die beiden Sicherheitslücken könnten die Ausführung von Schadcode aus der Ferne ermöglichen . Kurz gesagt bedeutet dies, dass ein Angreifer potenziell Code auf einem anfälligen Server ausführen könnte, ohne angemeldet zu sein. [cert.europa.eu]

Genau deshalb reagieren die Sicherheitsbehörden.

Am 21. Oktober wurden Korrekturen für PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35 veröffentlicht . CERT-EU empfiehlt betroffenen Systemen dringend, die Korrekturen umgehend zu installieren. Sollte dies nicht möglich sein, wird empfohlen, Anwendungen mit Internetzugang bis zur Installation und Überprüfung der Korrektur vom öffentlichen Netzwerk zu trennen. [cert.europa.eu]

CERT-SE empfiehlt Unternehmen außerdem, PHP-basierte Anwendungen zu identifizieren und die Systeme auf Anzeichen einer Kompromittierung zu untersuchen. [cert.se]

Was bedeutet das konkret für ein KMU?

Wenn ein externer Anbieter die Website, den Webshop oder andere webbasierte Lösungen Ihres Unternehmens betreibt, müssen Sie das Update nicht unbedingt selbst installieren.

Sie sollten sich aber eine Bestätigung einholen, dass sich jemand darum gekümmert hat.

Dasselbe gilt für Produkte, in denen PHP eingebettet ist. Das niederländische NCSC betont ausdrücklich, dass die Auswirkungen nicht auf Websites beschränkt sind, da PHP auch in Produkte anderer Anbieter eingebettet sein kann. In diesem Fall ist das Unternehmen möglicherweise darauf angewiesen, dass der Hersteller oder Anbieter das notwendige Update veröffentlicht und installiert. [github.com]

Dadurch wird die Aufteilung der Verantwortlichkeiten absolut zentral.

Ihre Webagentur geht möglicherweise davon aus, dass der Hosting-Partner dafür zuständig ist. Der Hosting-Partner betreut zwar den Server, aber nicht unbedingt ein bestimmtes Produkt. Und Ihr interner IT-Manager hat die betreffende Lösung unter Umständen nicht in seinem üblichen Aufgabenbereich.

Entscheidend ist nicht, wer die Verantwortung trägt. Entscheidend ist, dass die Verantwortung klar zugewiesen ist.

3 Fragen, auf die Sie Antworten erhalten sollten

Der Vorfall bietet eine gute Gelegenheit zu überprüfen, ob Ihr Unternehmen über den notwendigen Überblick und klare Verantwortlichkeiten verfügt.

1. Wie können wir feststellen, ob unsere PHP-Lösungen betroffen sind?

Zunächst sollte geklärt werden, ob das Unternehmen Systeme einsetzt, die betroffene PHP-Versionen verwenden.

Lassen Sie sich von Ihrem IT-, Hosting- oder Web-Anbieter klären, ob PHP in Ihren internetbasierten Websites, Anwendungen oder anderen relevanten Produkten enthalten ist.

Dies gilt auch für Drittanbieterlösungen und -produkte mit integriertem PHP. NCSC-NL empfiehlt insbesondere, PHP-basierte Anwendungen und deren Laufzeitversionen auf Systemen mit Internetzugang vorrangig zu identifizieren.

Das Management muss die technische Konfiguration nicht kennen. Das Unternehmen sollte aber wissen, wer sie kennt.

2. Sind die notwendigen Sicherheitsupdates installiert?

Es genügt nicht anzunehmen, dass ein System oder ein Lieferant das Problem automatisch gelöst hat.

Lass es dir bestätigen.

In manchen Betriebsumgebungen kann ein Sicherheitspatch als sogenannter Patch installiert werden. BackportCuranet hebt beispielsweise CloudLinux hervor, wo PHP Sicherheitsupdates erhalten kann, obwohl die Versionsnummer unverändert erscheint. [VS: Kritikpunkte…Gebote | Ausblick] 
 
Die korrigierten PHP-Versionen sind 8.5.12, 8.4.27, 8.3.36 und 8.2.35Für ältere Versionen bieten Distributionen und LTS-Anbieter möglicherweise rückportierte Sicherheitskorrekturen an.

Die Überprüfung sollte sich daher darauf konzentrieren, ob der entsprechende Sicherheitspatch implementiert wurde , und nicht nur darauf, welche Versionsnummer auf dem System vorhanden ist.

3. Gibt es Anzeichen für Kompromisse und ist klar, wer die Verantwortung trägt?

Die Verantwortung kann bei Ihrem IT-Manager oder einem Hosting-, Web- oder IT-Anbieter liegen. CERT-SE empfiehlt Organisationen, betroffene Systeme zu aktualisieren und sie auf Anzeichen einer Sicherheitslücke zu untersuchen . [cert.se]

Es sollte daher auch in den Dialog mit dem für die Lösung verantwortlichen Lieferanten oder IT-Partner einbezogen werden.

Entscheidend ist die klare Zuweisung von Verantwortlichkeiten. Jemand muss kritische Schwachstellen überwachen, beurteilen, ob die Lösungen des Unternehmens betroffen sind, und sicherstellen, dass die notwendigen Updates implementiert werden.

Wenn unklar ist, wer dafür verantwortlich ist, weist das Unternehmen eine Lücke in seiner IT-Sicherheitsvorsorge auf.

Es geht nicht nur um PHP.

Die aktuellen PHP-Sicherheitslücken verdeutlichen eine größere Herausforderung für KMU.

Sie sind wahrscheinlich auf weit mehr Technologien, Komponenten und Lieferanten angewiesen, als das Management deren Namen kennen muss.

Und so sollte es auch sein.

Ein Regisseur muss nicht ständig neue PHP-Versionen im Auge behalten oder CVE-Warnungen lesen.

Das Unternehmen sollte jedoch über einen Prozess verfügen, der sicherstellt, dass dies jemand tut.

Dies erfordert klare Antworten auf folgende Fragen:

• Welche Systeme sind für unser Geschäft geschäftskritisch?

• Wer überwacht neu entdeckte kritische Sicherheitslücken?

• Wer beurteilt, ob unsere Lösungen beeinträchtigt sind?

• Wer stellt Sicherheitsupdates bereit?

• Wer überprüft, ob sie umgesetzt wurden?

• Und wer reagiert, wenn es Anzeichen dafür gibt, dass ein System bereits kompromittiert wurde?

Hier treffen effiziente IT-Betriebsabläufe und IT-Sicherheit aufeinander.

Wissen Sie, wer reagiert, wenn eine kritische Sicherheitslücke auftritt?

PHP-Sicherheitslücken sind derzeit ein heißes Thema. Die wichtigsten Erkenntnisse beziehen sich aber nicht nur auf PHP.

Es geht darum, einen Überblick über die Lösungen des Unternehmens zu haben, klare Verantwortungsbereiche zu definieren und einen festgelegten Prozess für die Reaktion auf das Auftreten kritischer Sicherheitsprobleme zu haben.

Für ein KMU besteht das Ziel nicht darin, Experte für die individuelle Schwachstelle zu werden.

Ziel ist es, schnell und dokumentiert eine Antwort auf folgende Fragen zu erhalten:

Sind wir betroffen? Wurde das Problem behoben? Und wer trägt die Verantwortung?

Sind Sie sich unsicher, ob Ihre Lösungen betroffen sind oder wer für die Sicherheitsupdates verantwortlich ist?

Wenden Sie sich an MainBrain, um Ihre Konfiguration und Verantwortlichkeiten zu klären.