Die Entwickler der Programmiersprache PHP haben am 21. Oktober Sicherheitsupdates gegen zwei kritische Schwachstellen veröffentlicht. Nach der offiziellen Sicherheitsmitteilung können diese unter bestimmten Bedingungen die Ausführung fremden Codes auf Webservern ohne vorherige Anmeldung ermöglichen. Das Bundesamt für Sicherheit in der Informationstechnik hatte Betreiber zuvor zu unverzüglichen Aktualisierungen aufgerufen. Updates sind inzwischen veröffentlicht Das PHP-Projekt nennt die Versionen 8.5.12, 8.4.27, 8.3.36 und 8.2.35 als Sicherheitsveröffentlichungen. Die zuvor angekündigten Updates sind damit verfügbar. Betreiber älterer Versionen müssen nach Angaben des Projekts die Versorgung durch ihre Distributoren prüfen oder auf einen unterstützten Zweig wechseln. Die Schwachstellen tragen die Kennungen CVE-2026-109618 und CVE-2026-109619. Die offizielle Mitteilung beschreibt Risiken in der internen Speicher- und Zustandsverwaltung. Die konkrete Gefährdung hängt auch davon ab, wie PHP auf einem Server eingesetzt wird. Aus der Veröffentlichung folgt nicht, dass jede erreichbare PHP-Seite bereits angegriffen oder kompromittiert wurde. Vorsorgliche Einschränkungen bei öffentlichen Diensten Die Technische Universität Chemnitz beschränkte den Zugriff auf einen Teil ihrer Webdienste auf das Campusnetz. In einer Aktualisierung um 16:40 Uhr teilte das Rechenzentrum mit, dass Updates bereitstünden und ihre Verteilung laufe. Die Zugriffsbeschränkungen blieben zunächst bestehen. Die Stadt Offenbach nahm unter anderem ihr politisches Informationssystem und den Bewerbermanager vorübergehend vom Netz. Um 18:20 Uhr erklärte sie, die abgeschalteten Systeme könnten wieder genutzt werden. Warnung ist kein Nachweis einer Angriffswelle Das BSI rechnet mit einer schnellen Analyse der Sicherheitskorrekturen durch Angreifer. Diese Gefahreneinschätzung erklärt die vorsorglichen Maßnahmen, ist aber kein Beleg dafür, dass alle genannten Einrichtungen angegriffen wurden. Offen bleibt, in welchem Umfang die Lücken bereits tatsächlich ausgenutzt worden sind. Die Wiederverfügbarkeit einzelner Angebote sagt zudem nichts über den Sicherheitsstand anderer Server aus.