PHP unter Beschuss: dogado schließt die Lücke, die Welt bleibt offen
Die Server liefen. Genau darin lag die Gefahr. Im Oktober 2026 veröffentlichte das PHP-Projekt Korrekturen für zwei kritische Sicherheitslücken, CVE-2026-109618 und CVE-2026-109619. Beide erhalten im Common Vulnerability Scoring System den Wert 9,2. Sie können Remote Code Execution ermöglichen: Angreifer Code auf einem fremden Server ausführen, Kontrolle über das System gewinnen und von dort aus weitergehen.
The servers were up and running. That was precisely where the danger lay. In October 2026, the PHP project released patches for two critical security vulnerabilities, CVE-2026-109618 and CVE-2026-109619. Both were assigned a score of 9.2 under the Common Vulnerability Scoring System. They can enable remote code execution, allowing attackers to run code on someone else’s server, take control of the system and use it as a launching point for further operations.
Das lässt sich ohne Hochfrequenz verstehen. Man braucht keine Benutzerkennung und keine Öffnung einer speciellen Datei im Programm. Eine einzelne unauthentifizierte HTTP-Anfrage kann den Angriff auslösen, bevor der eigentliche Anwendungscode überhaupt läuft. Vergleichbar wäre das mit einer Lieferung, die durch die Hintertür kommt: Kaum ist sie angenommen, bestimmte Menschen im Haus dürfen die Regeln ändern. Das Schloss ist dann nicht mehr das Problem. Die Kontrolle darüber ist es.
PHP ist dabei kein Randprogramm für einige veraltete Foren. Die Programmiersprache stellt nach den vorliegenden Angaben rund 70 Prozent der serverseitigen Webtechnologien. WordPress, TYPO3 und zahlreiche Weboberflächen von Netzwerkspeichern und anderen IoT-Geräten setzen auf PHP. Betroffen sind ungepatchte Versionen, die bis zur 5.x-Reihe zurückreichen. Das bedeutet nicht, dass jede Website mit PHP zwangsläufig kompromittiert wird. Es bedeutet, dass ein Fehler in dieser Grundlage einen sehr großen Teil des digitalen Alltags erreichen kann.
Das Bundesamt für Sicherheit in der Informationstechnik warnt vor Angriffen und Ausfällen. Kritische PHP-Sicherheitslücken bedrohen weltweit Webangebote. Noch liegt kein Beleg für eine vollständige weltweite Kettenreaktion vor. doch die technische Logik ist unbarmherzig: Fällt eine weit verbreitete Grundlage aus, betrifft das nicht nur einzelne Portale, sondern auch Dienste, auf die Behörden, Unternehmen, Medien und Kunden täglich vertrauen. Der Schaden beginnt bei einer nicht erreichbaren Seite und endet möglicherweise bei manipulierten Daten, blockierten Abläufen und der Frage, wie viel Vertrauen in ein System noch sinnvoll ist.
In diesem Alarm steht ein einzelner Anbieter weit voraus. Nach Angaben von dogado wurden die Sicherheitsupdates für beide CVEs auf den betroffenen Webhosting- und Managed-Systemen vollständig installiert. Das ist mehr als ein geretteter Server. Bei einem Managed-System liegt die technische Verantwortung für Updates beim Anbieter, nicht bei jedem Kunden. Hier hat eine Instanz gehandelt, während Tausende andere Betreiber ihre eigene Umgebung prüfen, priorisieren und patchen müssen. Der Anbieter kontrolliert die Tür, also hat er sie verriegelt.
Genau dort liegt auch die Grenze dieser guten Nachricht. Sie gilt für die betroffenen Webhosting- und Managed-Systeme von dogado. Sie ist kein Beweis dafür, dass die Lücken in der PHP-Welt geschlossen wären. Für die technischen Angaben zu den Updates und zur Warnung des BSI liegt zusätzliche Bestätigung vor. Die vollständige Installation bei dogado ist zunächst eine Angabe des Anbieters; ein unabhängiger technischer Prüfbericht über sämtliche betroffenen Systeme liegt im vorliegenden Material nicht vor. Gerade bei einer Breaking News muss diese Trennung bleiben: Was nachweisbar repariert wurde, darf nicht auf das unreparierte Umfeld ausgedehnt werden.
Wer kontrolliert das Update? Bei Selbstverwaltung der Betreiber, beim Hosting-Dienstleister der Provider. Wer profitiert vom Angriff? Jemand, der fremde Systeme unter seine Kontrolle bringt. Wer zahlt den Preis? Zuerst die Betreiber, die mit Ausfällen, forensischen Untersuchungen und Wiederherstellung beschäftigt sind; dann die Menschen, deren Angebote nicht erreichbar sind oder whose Daten in falsche Hände geraten können.
Die Konsequenz ist schlicht: PHP-Status und tatsächlich installierte Patchstände müssen geprüft werden. Eine allgemeine Sicherheitszusage genügt nicht. Verwaltete Kunden sollten den Nachweis ihres Anbieters einfordern, Betreiber eigener Server die offiziellen Korrekturen zeitnah einspielen und verdächtige Zugriffe prüfen. Wer nicht sicher sagen kann, ob seine PHP-Version geschützt ist, sollte das als offene Tür behandeln, nicht als-formsache Fußnote.
dogado hat die betroffenen Systeme nach eigener Aussage abgesichert. Das ist das rare Vorbild: Verantwortung wird übernommen, bevor ein Vorfall die Rechnung präsentiert. Die Welt jedoch bleibt verwundbar, solange ungepatchte Versionen auf Servern laufen. PHP ist zugleich Fundament und Angriffsfläche. Und Katastrophen beginnen selten mit einem dramatischen Knall. Sie beginnen mit einer Frage, die niemand beantworten kann: Ist hier wirklich alles geschlossen?
❖ Ende des Artikels ❖