Südkorea drängt auf PHP-Updates: Zwei Schwachstellen lösen internationale Sicherheitsmaßnahmen aus

Notfall-Updates beheben zwei Schwachstellen in weit verbreiteter Websoftware

Südkoreas Korea Internet & Security Agency (KISA) forderte Website-Betreiber am 21. Oktober 2026 auf, PHP zu aktualisieren. Zuvor waren zwei Sicherheitslücken in Software entdeckt worden, die für Anmeldeseiten, Shopping-Angebote und Diskussionsforen genutzt wird. Zu den gemeldeten Risiken zählt, dass Angreifer Code auf einem Server ausführen können, ohne sich vorher anzumelden.

KISA identifizierte die Schwachstellen als CVE-2026-109618, bei der außergewöhnliche Bedingungen nicht korrekt behandelt werden, und CVE-2026-109619, bei der Speicher nach seiner Freigabe weiterverwendet wird. Die Update-Schwellenwerte der Behörde betreffen vier PHP-Versionszweige: 8.2.35, 8.3.36, 8.4.27 und 8.5.12.

Südkoreas Ministerium für Wissenschaft und IKT sowie KISA verschickten in der Nacht zum 21. Oktober Sicherheitsaufforderungen an Unternehmen und Institutionen in nationalen Cybersicherheitsnetzwerken. Die Behörden berichteten am 22. Oktober über diese Maßnahmen. Eine Notfallhilfe, die kleinere Unternehmen bei der Installation von Patches unterstützen soll, wurde erwogen.

Die unter dem Sammelnamen PHP2Shell beschriebenen Schwachstellen lösten international Reaktionen aus. Einige staatliche Einrichtungen in den Niederlanden und Finnland setzten Berichten zufolge vorsorglich ihre Websites außer Betrieb. Cybersicherheitsbehörden in Europa, Japan und Australien riefen zu Updates auf. US-Behörden empfahlen Berichten zufolge außerdem, betroffene Systeme offline zu nehmen, wenn sich Patches nicht sofort installieren ließen.

Welche PHP-Versionen müssen aktualisiert werden?

KISAs Empfehlung legt für jeden betroffenen PHP-Zweig eine andere Mindestversion fest. Ein Zweig umfasst eine Reihe von Versionen: Eine Website mit PHP 8.3 benötigt beispielsweise die korrigierte Version aus dieser Reihe oder eine geeignete neuere, weiterhin unterstützte Version.

• PHP 8.2: Versionen vor 8.2.35 aktualisieren.
• PHP 8.3: Versionen vor 8.3.36 aktualisieren.
• PHP 8.4: Versionen vor 8.4.27 aktualisieren.
• PHP 8.5: Versionen vor 8.5.12 aktualisieren.

KISA warnte außerdem, dass für PHP 8.1 und ältere Versionen der offizielle Sicherheits-Support ausgelaufen sei. Betreibern dieser Versionen wurde empfohlen, auf eine unterstützte Version umzusteigen, statt Software weiterzuverwenden, für die keine offiziellen Sicherheitsupdates mehr bereitgestellt werden.

Für Unternehmen ist es am sinnvollsten, zunächst die PHP-Version auf dem Server ihrer Website zu ermitteln. Die Software kann vom Hosting-Anbieter verwaltet werden oder in die Zuständigkeit eines internen IT-Teams fallen. Ein Update des Browsers auf einem Laptop betrifft einen anderen Teil des Systems.

Welche Folgen die beiden Schwachstellen haben könnten

CVE-2026-109618 betrifft außergewöhnliche Bedingungen, also Situationen, in denen eine Software mit etwas außerhalb ihres normalen Betriebs konfrontiert wird. Programme müssen solche Situationen sicher bewältigen. Fehler bei der Behandlung können dazu führen, dass sich die Software unerwartet verhält.

CVE-2026-109619 wird als Use-after-free-Schwachstelle beschrieben. Software reserviert vorübergehend Bereiche im Arbeitsspeicher und gibt sie nach der Verwendung wieder frei. Diese Art von Schwachstelle tritt auf, wenn ein Programm später versucht, einen bereits freigegebenen Bereich zu verwenden. Dabei kann es auf Daten zugreifen, die sich inzwischen geändert haben oder zu einem anderen Vorgang gehören.

Als Gefahr wird die Ausführung von Code aus der Ferne ohne vorherige Authentifizierung genannt. Vereinfacht gesagt könnte jemand außerhalb einer Website ihren Server dazu bringen, Befehle auszuführen, ohne einen gültigen Benutzernamen oder ein Passwort anzugeben. Ein erfolgreicher Angriff könnte Informationen offenlegen, Schadsoftware installieren oder Dienste unterbrechen.

In den öffentlich beschriebenen Ankündigungen wurden die genauen Serverkonfigurationen und Anfragebedingungen, die für einen Angriff auf die jeweiligen Schwachstellen erforderlich sind, nicht genannt. Betreiber müssen daher die betroffenen Softwareversionen prüfen und technische Hinweise für ihre konkrete Installation einholen.

Warum WordPress auch gewöhnliche Unternehmen betrifft

PHP läuft auf dem Server einer Website, nicht auf dem Smartphone oder Computer eines Besuchers. Ruft jemand beispielsweise den Bestellverlauf ab, kann ein PHP-Programm die entsprechenden Einträge aus einer Datenbank laden und die Seite vorbereiten, die anschließend an den Browser gesendet wird. Anmeldesysteme, Kommentare und Diskussionsforen funktionieren ähnlich.

Auch WordPress, eine Plattform zum Erstellen und Verwalten von Websites, läuft mit PHP. Damit betrifft die Sicherheitsmaßnahme Blogs, Unternehmenswebsites und Online-Shops, deren Betreiber nur selten direkt mit der Programmiersprache in Berührung kommen.

Den W3Techs zugeschriebene Zahlen zufolge kommt PHP bei etwa 75 % der Websites zum Einsatz, deren serverseitige Programmiersprache ermittelt werden kann. WordPress wird bei etwa 43 % aller Websites verwendet. Die PHP-Zahl bezieht sich auf eine enger gefasste Gruppe als die WordPress-Zahl: Websites mit einer ermittelbaren serverseitigen Programmiersprache und nicht sämtliche Websites.

Diese Zahlen verdeutlichen die Reichweite der Reaktion. Viele unabhängig betriebene Websites hängen von derselben zugrunde liegenden Software ab. Eine einzige Reparaturmaßnahme kann daher gleichzeitig öffentliche Einrichtungen, große Unternehmen und kleine Betriebe betreffen.

Südkorea erreicht Unternehmen über zwei Sicherheitskanäle

Das Ministerium für Wissenschaft und IKT sowie KISA richteten ihre Aufforderungen vom 21. Oktober an Mitglieder von C-TAS, einem System zur Analyse und zum Austausch von Informationen über Cyberbedrohungen, sowie an Unternehmen, die einen Chief Information Security Officer (CISO) benennen müssen.

C-TAS hat rund 5.900 teilnehmende Unternehmen und Institutionen. Rund 30.000 Unternehmen müssen nach dem südkoreanischen Gesetz über Informations- und Kommunikationsnetze einen CISO benennen und dem Ministerium melden. Ein CISO ist die ranghöchste für die Informationssicherheit einer Organisation zuständige Person.

Die beiden Zahlen beziehen sich auf unterschiedliche Gruppen, die sich teilweise überschneiden können. Die Regierung nutzte außerdem KISAs öffentliches Cybersicherheitsportal Boho Nara, um Sicherheitsupdates und die Installation von Patches zu empfehlen.

Kleinere Unternehmen stehen vor einem praktischen Personalproblem: Manche haben keine Beschäftigten, die eine betroffene Installation erkennen, ein Update veranlassen und anschließend prüfen können, ob die Website noch funktioniert. Ein Ministeriumsvertreter sagte, die Regierung habe zunächst Sicherheitshinweise verteilt und erwäge eine Notfallhilfe für das Einspielen von Patches. Ein Starttermin und Teilnahmebedingungen wurden nicht bekanntgegeben.

Wie sich die Ereignisse entwickelten

Die gemeldete Abfolge beginnt mit einem externen Sicherheitsaudit im Jahr 2024 und führt zu einer beschleunigten Veröffentlichung von Fehlerbehebungen im Oktober 2026. Die wichtigsten Daten:

• 2024: Bei einem externen Audit wurden Berichten zufolge Hinweise auf einige Fehler entdeckt. Als Gründe dafür, dass die Entwicklung von Patches damals nicht vorankam, wurden interne Meinungsverschiedenheiten und Bedenken hinsichtlich der Kompatibilität mit bestehender Software genannt.
• 21. Oktober 2026: PHP-Entwickler veröffentlichten Berichten zufolge Fehlerbehebungen für zwei Schwachstellen. KISA gab eine Update-Empfehlung heraus.
• Nacht zum 21. Oktober: Südkoreanische Behörden verschickten Sicherheitsaufforderungen über Kanäle für Unternehmen und Institutionen.
• 22. Oktober: Südkoreanische Behörden berichteten über die Maßnahmen. Ursprünglich war auch die Veröffentlichung der Patches für diesen Tag geplant.

Berichten zufolge wurde die Veröffentlichung der Patches um einen Tag vorgezogen, nachdem Informationen über die Schwachstellen durchgesickert waren. Zudem sollen bereits vor der öffentlichen Bekanntgabe der Fehlerbehebungen Angriffsversuche registriert worden sein. Das erhöhte den Druck auf die Betreiber, rasch zu handeln.

Der Bericht über das Audit von 2024 verweist auch auf eine Herausforderung bei der Wartung. Änderungen an gemeinsam genutzter Software können Anwendungen beeinträchtigen, die auf ihrem bisherigen Verhalten aufbauen. Kompatibilitätsbedenken erschweren die Abstimmung von Reparaturen, insbesondere wenn eine Programmiersprache viele verschiedene Websites und Hosting-Konfigurationen unterstützt.

KI-gestützte Entdeckung und unabhängige Sicherheitsforschung

Das Cybersicherheitsunternehmen Calif entdeckte die Schwachstellen Berichten zufolge mithilfe eines OpenAI-Modells namens GPT-5.6 Sol. Die Fehler sollen mehr als ein Jahrzehnt lang unentdeckt geblieben sein.

Das Google-nahe Cybersicherheitsunternehmen Wiz fand und meldete die beiden Schwachstellen Berichten zufolge unabhängig davon. Wiz-Mitgründer Ami Luttwak bezeichnete sie als die schwerwiegendsten mithilfe von KI entdeckten Schwachstellen. Ohne KI wäre es nach seinen Worten aufgrund ihrer Komplexität äußerst schwierig gewesen, sie zu finden.

OpenAI erklärte, das Unternehmen habe in den vorangegangenen zwei Monaten Forschende und Cybersicherheitsunternehmen koordiniert, um die Reaktion zu unterstützen. Außerdem prognostizierte es, dass die Zahl ähnlicher Entdeckungen mithilfe von KI in den folgenden Monaten stark steigen werde.

Für Website-Betreiber bleibt die unmittelbare Aufgabe konkret: installierte Software ermitteln, die passende Fehlerbehebung einspielen und den Betrieb aufrechterhalten. Der Einsatz von KI bei der Entdeckung ist ein weiterer Aspekt der Geschichte, neben unabhängiger Forschung, der Abstimmung unter Entwicklern und der Verteilung von Patches.

Warum einige Behörden empfahlen, Systeme offline zu nehmen

Die US-amerikanische National Security Agency (NSA) forderte Organisationen, die PHP verwenden, Berichten zufolge auf, umgehend Updates zu installieren. Sie warnte, dass Angreifer durch eine Ausnutzung der Schwachstellen Zugriff auf das Dateisystem oder die Datenbank eines Servers erhalten könnten. Falls sich Updates nicht sofort installieren ließen, empfahl sie, betroffene Systeme bis zur Behebung der Schwachstellen offline zu nehmen.

Das FBI gab Berichten zufolge ähnliche Hinweise und warnte vor der Ausführung von Code aus der Ferne sowie vor einer möglichen Offenlegung vertraulicher Informationen und Netzwerke. Einige staatliche Einrichtungen in den Niederlanden und Finnland setzten Websites vorsorglich außer Betrieb.

Eine Website offline zu nehmen, hat unmittelbare Folgen: Besucher verlieren den Zugang zu den angebotenen Diensten. Für einen Online-Shop kann das unterbrochene Verkäufe bedeuten, für eine öffentliche Einrichtung nicht verfügbare Informationen oder Online-Formulare. Die Empfehlung spiegelt die Gefahr wider, einen verwundbaren Server während des Wartens auf eine Fehlerbehebung weiter erreichbar zu lassen.

Cloudflare erklärte, das Unternehmen passe seine Schutzmaßnahmen an die Angriffspfade an. Website-Betreibern wurde weiterhin empfohlen, die PHP-Fehlerbehebungen zu installieren und die zugrunde liegende Software auf die in der Sicherheitsmaßnahme genannten Versionen zu aktualisieren.

Was Betreiber jetzt tun müssen

Website-Betreiber sollten feststellen, wer ihre PHP-Installation verwaltet, und die Version mit den von KISA genannten Schwellenwerten vergleichen. Unternehmen, die einen Hosting-Anbieter nutzen, sollten sich von ihm die Serverversion und die geplanten Updates bestätigen lassen. Wer eigene Server verwaltet, muss die Änderung selbst vornehmen.

Unternehmen mit WordPress sollten bei dieser Prüfung auch die PHP-Laufzeitumgebung berücksichtigen und sie in die reguläre Website-Wartung einbeziehen. PHP ist eine separate Softwareschicht unterhalb des Content-Management-Systems. Wer nur die WordPress-Version kennt, hat daher nicht die gesamte Installation überprüft.

Betreiber mit PHP 8.1 oder älter müssen auf eine unterstützte Version umsteigen. Wer bereits einen betroffenen Zweig verwendet, benötigt die passende korrigierte Version oder eine geeignete neuere, weiterhin unterstützte Version. Tests wichtiger Funktionen wie Kundenanmeldung, Abruf von Bestellungen und Zahlungen helfen, Probleme während des Updates zu erkennen.

Wichtige Punkte

• KISA gab am 21. Oktober 2026 eine Empfehlung zu PHP-Sicherheitsupdates heraus und nannte CVE-2026-109618 sowie CVE-2026-109619.
• Als Mindestversionen für Updates wurden PHP 8.2.35, 8.3.36, 8.4.27 und 8.5.12 genannt.
• Nutzern von PHP 8.1 und älteren Versionen empfahl KISA den Wechsel zu einer unterstützten Version.
• Zu den gemeldeten Risiken zählt, dass Angreifer aus der Ferne Code ausführen können, ohne sich anzumelden.
• Südkorea kontaktierte Mitglieder von Sicherheitsnetzwerken und Unternehmen, die einen CISO benennen müssen.
• Eine Notfallhilfe für kleinere südkoreanische Unternehmen beim Einspielen von Patches wurde erwogen.
• Internationale Behörden riefen zu Updates auf. Einige empfahlen eine vorübergehende Abschaltung, wenn sich Patches nicht sofort installieren ließen.