Wie manipulierte Websites Ihre Daten und Geräte gefährden können
IT-Sicherheit: CVE-2026-109618 und CVE-2026-109619
Zwei neu entdeckte Sicherheitslücken in PHP sorgen weltweit für erhebliche Aufmerksamkeit. Angreifer könnten darüber Websites übernehmen, vertrauliche Informationen auslesen und schädliche Inhalte einschleusen. Besonders problematisch: Für Besucher ist eine manipulierte Website häufig nicht von einer vertrauenswürdigen Internetseite zu unterscheiden.
Was bedeutet das für Privatpersonen, Unternehmen und ihre Kunden?
Zwei kritische PHP-Sicherheitslücken bedrohen zahlreiche Websites
PHP gehört zu den wichtigsten Programmiersprachen für Websites. Viele bekannte Content-Management-Systeme, darunter WordPress, Joomla und Drupal, nutzen PHP, um Inhalte bereitzustellen und Benutzeranfragen zu verarbeiten.
Am 21. Oktober 2026 wurden Sicherheitsupdates für zwei kritische Schwachstellen veröffentlicht:
CVE-2026-109618: Ein Fehler bei der Verarbeitung von Speicherengpässen kann dazu führen, dass PHP interne Daten nicht korrekt verarbeitet. Angreifer können diese Schwachstelle unter bestimmten Voraussetzungen ausnutzen, um fremden Programmcode auf einem verwundbaren Server auszuführen.
CVE-2026-109619: Ein Fehler bei der Verwaltung interner Speicherinformationen kann dazu führen, dass PHP auf bereits freigegebenen Arbeitsspeicher zugreift. Auch diese Schwachstelle kann unter bestimmten Bedingungen die Ausführung von Schadcode ermöglichen.
Beide Schwachstellen erreichen auf der Bewertungsskala CVSS 4.0 einen kritischen Wert von 9,2 von maximal 10 Punkten.
Das Besondere: Angreifer benötigen für einen erfolgreichen Angriff unter bestimmten Voraussetzungen weder ein Benutzerkonto noch ein Passwort. Sie können verwundbare Server direkt über das Internet angreifen.
Warum auch Besucher einer Website betroffen sein können
Zunächst betreffen die Sicherheitslücken den Webserver, auf dem eine Website betrieben wird. Die Schwachstellen greifen also nicht unmittelbar den Computer oder das Smartphone eines Besuchers an.
Die Gefahr entsteht, wenn Kriminelle die Kontrolle über einen verwundbaren Server erlangen und dessen Inhalte manipulieren.
Ein solcher Angriff kann dazu führen, dass eine bisher seriöse Website plötzlich Schadcode ausliefert, vertrauliche Daten abgreift oder Besucher auf betrügerische Angebote weiterleitet.
Besonders gefährlich ist das Vertrauen in bekannte Internetadressen. Wer regelmäßig denselben Onlineshop, dasselbe Kundenportal oder dieselbe Unternehmenswebsite besucht, erwartet dort normalerweise keine schädlichen Inhalte.
Warum Behörden und Unternehmen ihre Websites vorsorglich abschalten
Im Zusammenhang mit den aktuellen PHP-Sicherheitslücken wurden zahlreiche Internetportale von Behörden, öffentlichen Einrichtungen und Unternehmen vorübergehend abgeschaltet. Auch in Deutschland waren unter anderem Websites von Landesbehörden und öffentlichen Institutionen betroffen.
Eine solche Abschaltung bedeutet nicht automatisch, dass die Website bereits gehackt wurde. Vielmehr handelt es sich häufig um eine bewusste Vorsichtsmaßnahme, um mögliche Angriffe zu verhindern.
Während die Website für Besucher nicht erreichbar ist, arbeiten IT-Fachleute im Hintergrund daran, die Sicherheitslücken zu schließen. Dazu werden notwendige Software-Updates installiert, Systeme auf verdächtige Veränderungen überprüft und anschließend wichtige Funktionen getestet. Erst wenn die Verantwortlichen die Risiken ausreichend reduziert haben, wird die Website wieder freigeschaltet.
Für Endnutzer ist diese vorübergehende Unterbrechung ein wichtiger Schutz. Denn solange eine möglicherweise verwundbare Website nicht öffentlich erreichbar ist, können Angreifer die betroffenen Funktionen nicht ohne Weiteres über das Internet ausnutzen. Gleichzeitig sinkt das Risiko, dass Besucher über eine manipulierte Website mit schädlichen Inhalten in Kontakt kommen oder persönliche Daten preisgeben.
Auch wenn die vorübergehende Nichterreichbarkeit eines Behördenportals oder Onlinedienstes ärgerlich sein kann, ist sie deshalb häufig ein Zeichen verantwortungsvollen Handelns. Ein kurzzeitig nicht erreichbarer Onlinedienst ist in diesem Fall die bessere Alternative zu einer möglichen Gefährdung persönlicher Daten.
Wichtig: Die folgenden Angriffsszenarien beschreiben mögliche Folgen einer erfolgreich kompromittierten Website. Sie sind nicht automatisch als bereits beobachtete Angriffe über die beiden PHP-Sicherheitslücken zu verstehen.
Sieben Angriffsszenarien: Diese Gefahren drohen Website-Besuchern
1. Schadsoftware über manipulierte Websites
Angreifer können eine kompromittierte Website nutzen, um schädliche Programme zu verbreiten.
Beispielsweise könnte eine Website plötzlich einen angeblich notwendigen Sicherheitsdownload oder eine vermeintlich wichtige Aktualisierung anbieten.
Lädt der Besucher diese Datei herunter und führt sie aus, kann Schadsoftware auf seinem Gerät installiert werden.
Dazu gehören Programme, die Zugangsdaten ausspionieren, Dateien verschlüsseln oder Informationen an Kriminelle übertragen.
Unter zusätzlichen Voraussetzungen sind auch sogenannte Drive-by-Angriffe denkbar, bei denen eine weitere Sicherheitslücke im Browser oder Betriebssystem ausgenutzt wird.
Ein gewöhnlicher Besuch einer kompromittierten PHP-Website führt allerdings nicht automatisch zur Infektion des eigenen Geräts.
2. Gefälschte Anmeldemasken stehlen Passwörter
Eine besonders naheliegende Angriffsmethode ist der Austausch oder die Manipulation vorhandener Anmeldeformulare.
Angreifer könnten beispielsweise die Login-Seite eines Kundenportals verändern. Die Eingabemaske sieht weiterhin vertraut aus, übermittelt eingegebene Zugangsdaten jedoch zusätzlich an die Angreifer.
Betroffen sein können Benutzerkonten von Onlineshops, Mitgliederbereichen oder Unternehmensportalen.
Wer dasselbe Passwort bei mehreren Diensten verwendet, erhöht das Risiko weiterer Kontoübernahmen.
Das Problem: Selbst die korrekte Internetadresse und eine verschlüsselte HTTPS-Verbindung garantieren nicht, dass die Inhalte einer Website unverändert und vertrauenswürdig sind.
3. Diebstahl von Sitzungscookies und Übernahme von Benutzerkonten
Viele Websites speichern Informationen über angemeldete Benutzer in sogenannten Sitzungscookies.
Diese ermöglichen es, während eines Besuchs angemeldet zu bleiben, ohne das Passwort bei jedem Seitenwechsel erneut eingeben zu müssen.
Gelingt es Angreifern, gültige Sitzungstokens abzugreifen, können sie unter Umständen eine bestehende Anmeldung missbrauchen.
Das wird als Session-Hijacking bezeichnet.
Eine solche Übernahme ist jedoch nicht bei jeder Website möglich. Moderne Schutzmechanismen, etwa besonders abgesicherte Cookies und serverseitige Sitzungsprüfungen, können das Risiko reduzieren.
Hat ein Angreifer bereits die Kontrolle über den Webserver, können zusätzlich serverseitige Sitzungsinformationen gefährdet sein.
4. Zahlungsdaten und persönliche Informationen werden abgegriffen
Besonders kritisch sind Angriffe auf Onlineshops, Buchungsportale und Websites mit Kontaktformularen.
Angreifer können manipulierte Formulare oder eingeschleuste Skripte verwenden, um Informationen abzufangen, die Besucher eingeben.
Dazu zählen beispielsweise Namen, Anschriften, Telefonnummern, E-Mail-Adressen und gegebenenfalls Zahlungsinformationen.
Bei manipulierten Bezahlseiten spricht man häufig von Web-Skimming.
Auch Daten, die bereits auf dem kompromittierten Server gespeichert sind, können betroffen sein. Das hängt davon ab, welche Zugriffsrechte die Angreifer erlangen und wie die Website aufgebaut ist.
Für Unternehmen können daraus Datenschutzvorfälle, finanzielle Schäden und erhebliche Vertrauensverluste entstehen.
5. Unbemerkte Weiterleitungen auf betrügerische Internetseiten
Eine kompromittierte Website kann Besucher automatisch auf andere Internetseiten weiterleiten.
Diese Seiten können gefälschte Gewinnspiele, betrügerische Shops, nachgeahmte Zahlungsdienste oder angebliche Sicherheitsprüfungen enthalten.
Teilweise erfolgen solche Weiterleitungen nur bei bestimmten Besuchern, etwa auf Smartphones oder bei erstmaligem Aufruf.
Dadurch bleiben Manipulationen möglicherweise längere Zeit unentdeckt.
Für Betroffene entsteht die Gefahr, persönliche Informationen preiszugeben, Geld an Betrüger zu überweisen oder schädliche Dateien herunterzuladen.
6. Gefälschte Sicherheitswarnungen und Browsermeldungen
Angreifer können innerhalb einer manipulierten Website täuschend echte Warnmeldungen anzeigen.
Beispielsweise könnte eine Meldung behaupten, der Computer sei mit Viren infiziert und müsse sofort überprüft werden.
Andere Varianten fordern dazu auf, einen angeblichen Support anzurufen, eine Erweiterung zu installieren oder Benachrichtigungen im Browser zu erlauben.
Solche Meldungen dienen häufig dazu, Besucher unter Druck zu setzen.
Sie sind nicht mit echten Sicherheitswarnungen des Betriebssystems oder einer seriösen Schutzsoftware gleichzusetzen.
Grundsätzlich gilt: Installieren Sie keine Programme allein aufgrund einer unerwarteten Aufforderung auf einer Website.
7. Manipulierte Downloads und Software-Updates
Websites von Unternehmen stellen häufig Dokumente, Programme, Installationsdateien oder Software-Updates bereit.
Gelingt Angreifern die Manipulation dieser Dateien, können Besucher statt des erwarteten Downloads eine schädliche Version erhalten.
Dieses Szenario ist besonders für kleine und mittlere Unternehmen relevant, die regelmäßig Software oder Dokumente von Geschäftspartnern beziehen.
Eine manipulierte Installationsdatei kann möglicherweise nicht nur einen einzelnen Arbeitsplatz, sondern auch weitere Systeme innerhalb eines Unternehmens gefährden.
Digitale Signaturen und eine unabhängige Prüfung der Herkunft können helfen, solche Manipulationen zu erkennen.
Welche Folgen drohen, wenn Sicherheitsupdates ausbleiben?
Die beiden PHP-Schwachstellen sind besonders ernst zu nehmen, weil sie eine Ausführung fremden Programmcodes auf dem Server ermöglichen können.
Damit besteht nicht nur die Gefahr einer manipulierten Website. Je nach Serverkonfiguration können auch gespeicherte Kundendaten, Datenbanken und weitere Anwendungen gefährdet sein.
Für Unternehmen ergeben sich insbesondere Risiken durch Betriebsunterbrechungen, Datenverluste, Datenschutzverletzungen und den Missbrauch ihrer Website für Betrugsversuche.
Auch rechtliche Pflichten können entstehen. Beispielsweise müssen Verantwortliche bei einer Verletzung des Schutzes personenbezogener Daten prüfen, ob eine Meldung nach der Datenschutz-Grundverordnung erforderlich ist.
Die europäischen Sicherheitsbehörden empfehlen deshalb, betroffene PHP-Installationen umgehend zu aktualisieren.
So schützen Sie Ihre Website und Ihre Besucher
Für Betreiber von Websites ist die wichtigste Maßnahme die Installation einer korrigierten PHP-Version.
PHP-Sicherheitsupdates vom 21. Oktober 2026
| PHP-Versionsreihe | Korrigierte Version |
| PHP 8.2 | 8.2.35 |
| PHP 8.3 | 8.3.36 |
| PHP 8.4 | 8.4.27 |
| PHP 8.5 | 8.5.12 |
PHP 8.1 und ältere Versionen erhalten vom PHP-Projekt keine regulären Sicherheitsupdates mehr. Allerdings können Hostinganbieter und Hersteller weiterhin eigene Sicherheitskorrekturen für ältere Versionen bereitstellen.
Ein Update allein reicht allerdings nicht immer aus. Wurde eine Website bereits kompromittiert, kann schädlicher Code auch nach der Aktualisierung vorhanden bleiben.
Deshalb sollten Betreiber zusätzlich ihre Website auf Manipulationen untersuchen, Protokolldateien kontrollieren, Zugänge absichern und gegebenenfalls betroffene Passwörter und Sicherheitsschlüssel erneuern.
Für Besucher sind aktuelle Browser, ein aktualisiertes Betriebssystem, unterschiedliche Passwörter und eine zusätzliche Anmeldebestätigung wichtige Schutzmaßnahmen.
Misstrauen Sie unerwarteten Downloads, ungewöhnlichen Zahlungsaufforderungen und plötzlich auftauchenden Anmeldemasken – auch auf bekannten Websites.
Fazit: Nicht nur Website-Betreiber müssen aufmerksam sein
Die Sicherheitslücken CVE-2026-109618 und CVE-2026-109619 zeigen, wie schnell eine technische Schwachstelle zur Gefahr für zahlreiche Internetnutzer werden kann.
Wird eine Website erfolgreich kompromittiert, können Angreifer ihre Vertrauenswürdigkeit missbrauchen, um Daten zu stehlen, Schadsoftware zu verbreiten oder Besucher zu betrügerischen Handlungen zu verleiten.
Dabei bedeutet eine verwundbare PHP-Version nicht zwangsläufig, dass eine Website bereits angegriffen wurde.
Häufig gestellte Fragen (FAQ)
1. Kann mein Computer bereits durch den Besuch einer betroffenen Website infiziert werden?
Nicht automatisch. Die PHP-Schwachstellen betreffen zunächst den Webserver. Eine kompromittierte Website kann jedoch schädliche Downloads, manipulierte Inhalte oder Angriffe auf zusätzliche Browser-Schwachstellen verbreiten.
2. Sind auch WordPress-Websites betroffen?
Ja, WordPress verwendet PHP. Entscheidend ist die eingesetzte PHP-Version und die konkrete Serverkonfiguration. Auch eine aktuelle WordPress-Version schützt nicht automatisch vor Sicherheitslücken in der zugrunde liegenden PHP-Umgebung.
3. Reicht ein PHP-Update aus, um wieder sicher zu sein?
Ein Sicherheitsupdate schließt die bekannten Schwachstellen. Wenn Angreifer den Server zuvor bereits kompromittiert haben, müssen zusätzlich mögliche Manipulationen, Schadprogramme und gestohlene Zugangsdaten untersucht werden.
Comments are closed.