Kritische PHP-Schwachstellen: BSI warnt vor hohem Risiko für Webanwendungen

Zwei kritische Schwachstellen in der weitverbreiteten Programmiersprache PHP gefährden derzeit Webanwendungen weltweit. Die Programmiersprache PHP kommt bei zahlreichen Websites und Webanwendungen wie Blogs, Nachrichtenportalen, Online-Shops und Content-Management-Systemen zum Einsatz. Allein mit der PHP-basierten Anwendung WordPress werden weltweit mehrere hundert Millionen Webseiten betrieben.

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) stuft das Risiko mit der Warnstufe 3/Orange als außerordentlich hoch ein und veröffentlichte eine offizielle Sicherheitswarnung. Zahlreiche Behörden, Kommunen, Universitäten und Kliniken haben ihre Internetangebote vorsorglich zeitweise vom Netz genommen.

Die Schwachstellen könnten es Angreifern ermöglichen, aus der Ferne schadhaften Code auf betroffenen Webservern auszuführen. Für eine Ausnutzung sind laut BSI weder eine Authentifizierung noch eine Nutzerinteraktion erforderlich. Mittlerweile stehen aktualisierte PHP-Versionen zur Verfügung, in denen die Schwachstellen geschlossen wurden. Betreiber betroffener Systeme sollten die Sicherheitsupdates umgehend einspielen.

Die Cybersicherheitswarnung des BSI dazu finden Sie hier: https://www.bsi.bund.de/SharedDocs/Cybersicherheitswarnungen/DE/2026/2026-297981-1032.pdf?__blob=publicationFile&v=4