Gedanken zu den PHP-Sicherheitsupdates vom 21. Oktober 2026

Unser Unternehmen arbeitet mit ausgereiften Open-Source-Technologien, die jeder prüfen und auditieren kann. Wir kümmern uns ständig um die Sicherheit und den Betrieb der Anwendungen, die wir unseren Kunden bereitstellen. Diese Technologien sind jedoch alles andere als fehlerfrei, weshalb wir Zeit und Ressourcen dafür aufwenden, Sicherheitsupdates für die von uns eingesetzten Technologien umzusetzen.

Am 21. Oktober 2026 wurden Notfall-Patches für zwei kritische Schwachstellen in PHP veröffentlicht, die den Sicherheitshinweisen CVE-2026-109618 und CVE-2026-109619 entsprechen. CVE steht für „Common Vulnerabilities and Exposures“ und ist ein Katalog öffentlich bekannter Sicherheitslücken in Softwareanwendungen und Hardwarekomponenten.

Wir haben diese Information am Mittwoch um 11:40 Uhr erhalten und sofort alle unsere Kunden über das damit verbundene Risiko informiert. Wir haben folgende Maßnahmen ergriffen, mit ungefähren Zeitangaben:

11:45 CLST / 14:45 UTC: Massenupdate von PHP und anderen Werkzeugen auf allen öffentlichen Servern, die Informationen unserer Kunden enthalten und unter unserer Kontrolle stehen. Auf Rocky-Linux-Servern wurde auf PHP 8.5.12 aktualisiert, auf Ubuntu-Linux-Servern auf 8.5.4-0ubuntu1.5.

12:00 CLST / 15:00 UTC: Neustart aller öffentlichen Server, die Informationen unserer Kunden enthalten und unter unserer Kontrolle stehen, mit einer Dienstunterbrechung von 15 Minuten.

15:00 CLST / 18:00 UTC: Die Untersuchung aller Anwendungslogs, die über unsere Monitoring-Dienste erfasst wurden, begann zu diesem Zeitpunkt und wurde am 30. Oktober 2026 abgeschlossen. Dabei wurden keine Anzeichen für Sicherheitsprobleme gefunden.

Die Dienstunterbrechungen summierten sich insgesamt auf 30 Minuten: 15 Minuten für das PHP-Update und 15 Minuten für das Anwendungsupdate.

Die von uns entwickelten Plattformen laufen hinter einer Web Application Firewall, die für jede Website nur einen gültigen Datensatz zulässt, was die Angriffsfläche verringert. Der wichtigste Schutz gegen diese Art von Sicherheitslücke ist jedoch das Software-Update, das zu 100 % eingespielt ist. Außerdem spielen wir Sicherheitsupdates für die Anwendungen ein, die auf PHP laufen, mit einer berechneten Ausfallzeit von 15 Minuten. Dieses Update erfolgt regelmäßig und automatisiert, wir können es aber auch manuell durchführen und die Ergebnisse kontrollieren.

Nur ein Dienst war länger als nötig nicht verfügbar, da die Organisation, die ihn verwaltet, eigene Richtlinien zur Aufbewahrung von Informationen hat. Die an diesem Dienst durchgeführte Prüfung ergab jedoch ebenfalls keine erfolgreichen Ausnutzungsversuche.

Unser Unternehmen bleibt dem Ziel verpflichtet, exzellente Produkte und Dienstleistungen für unsere Kunden zu entwickeln. Bei Fragen zögern Sie bitte nicht, uns über unsere offiziellen Kanäle zu kontaktieren.