KW 43/2026

Was ist passiert?

Am 21. Oktober 2026 hat das PHP-Projekt zwei kritische Sicherheitslücken veröffentlicht:

• CVE-2026-109618 – Speicherfehler bei Out-of-Memory-Situationen
• CVE-2026-109619 – Use-after-free durch veralteten internen Anwendungszustand

Beide Schwachstellen erreichen einen CVSS-v4-Wert von 9,2.

Unter bestimmten Voraussetzungen kann ein nicht authentifizierter Angreifer über speziell präparierte Webanfragen beliebigen Programmcode mit den Berechtigungen des PHP-Prozesses ausführen.

CVE-2026-109619 kann zusätzlich das Auslesen von Speicherinhalten ermöglichen.

Das PHP-Projekt bestätigt die technische Ausnutzbarkeit insbesondere für Apache mit mod_php. Für CVE-2026-109619 wurde die Codeausführung zusätzlich unter PHP-FPM validiert.

Neue Entwicklung: Weltweite Angriffsversuche

Am 22. Oktober berichten Sicherheitsunternehmen über umfangreiche Angriffsaktivitäten.

Cloudflare hat nach eigenen Angaben Millionen von Ausnutzungsversuchen registriert. AWS berichtet, dass entsprechende Angriffsaktivitäten bereits ab dem 17. Oktober beobachtet wurden – also vor der offiziellen Veröffentlichung der Sicherheitsupdates.

Damit ist die Lage deutlich ernster als eine rein theoretische Schwachstelle.

Wichtig: Die Zahl der Angriffsversuche ist nicht gleichbedeutend mit der Zahl erfolgreich kompromittierter Server.

Wer ist betroffen?

Grundsätzlich können alle PHP-Installationen betroffen sein, die Webanfragen verarbeiten.

Dazu zählen unter anderem:

• Apache mit mod_php
• PHP-FPM
• PHP-CGI
• FrankenPHP
• LiteSpeed
• selbst betriebene PHP-Webanwendungen
• zahlreiche WordPress-, Drupal- und andere PHP-basierte Websites

Besonders relevant ist die Schwachstelle für öffentlich erreichbare Webserver.

Auch eine Website, die regelmäßig über WordPress oder ein anderes CMS aktualisiert wird, kann betroffen sein, wenn die darunterliegende PHP-Laufzeit verwundbar ist.

Welche PHP-Versionen sind betroffen?

Bei Linux-Distributionen mit zurückportierten Sicherheitskorrekturen kann auch eine abweichende Paketversionsnummer bereits geschützt sein. Entscheidend ist deshalb die Sicherheitsinformation des jeweiligen Paket- oder Hosting-Anbieters.

Was sollte man tun?

1. PHP-Version sofort kontrollieren

Alle produktiven Websites und Webanwendungen inventarisieren und die verwendeten PHP-Versionen prüfen.

2. Sicherheitsupdates installieren

Die vom PHP-Projekt oder vom jeweiligen Betriebssystem- beziehungsweise Hosting-Anbieter bereitgestellten Sicherheitsupdates unverzüglich einspielen.

3. PHP-Prozesse neu starten

Nach dem Update sicherstellen, dass Apache, PHP-FPM oder andere betroffene Dienste tatsächlich mit der korrigierten Version arbeiten.

4. Internet-exponierte Systeme überprüfen

Bei ungepatchten Systemen insbesondere Webserver-Logs, ungewöhnliche Prozesse, neue Dateien und unerwartete ausgehende Verbindungen kontrollieren.

5. Falls kein Update verfügbar ist

Den öffentlich erreichbaren Zugriff nach Möglichkeit vorübergehend einschränken oder den betroffenen Dienst bis zur Installation eines Patches deaktivieren.

Das PHP-Projekt beschreibt außerdem technische Maßnahmen zur Reduzierung einzelner Angriffsmöglichkeiten. Diese ersetzen jedoch kein vollständiges Sicherheitsupdate.

Besonderer Hinweis für Website-Betreiber

Wer seine Website bei einem Hosting-Anbieter betreibt, sollte nicht automatisch davon ausgehen, dass die PHP-Laufzeit bereits aktualisiert wurde.

Es empfiehlt sich, im Hosting-Control-Panel die PHP-Version zu kontrollieren oder beim Anbieter ausdrücklich nachzufragen, ob beide CVEs behoben sind.

Was ist passiert?

Die Watchlist Internet dokumentiert zwischen dem 19. und 21. Oktober mehrere neue Phishing-Nachrichten, die gezielt österreichische Anwender ansprechen.

Besonders häufig werden bekannte österreichische Online-Dienste und Behördennamen missbraucht.

ID Austria: Angebliche Datenaktualisierung

In mehreren Nachrichten vom 19., 20. und 21. Oktober werden Empfänger aufgefordert, ihre persönlichen Daten oder ihre digitale Identität zu aktualisieren.

Die Nachrichten erwecken den Eindruck einer verpflichtenden Sicherheitsprüfung.

FinanzOnline: Drohung mit Pfändung

Eine am 21. Oktober gemeldete Phishing-Mail setzt Empfänger mit einer angeblich drohenden Pfändung unter Druck.

Derartige Drohungen sollen dazu führen, dass Betroffene ohne weitere Prüfung auf einen Link klicken und persönliche oder finanzielle Informationen preisgeben.

Willhaben: Angeblicher ungewöhnlicher Anmeldeversuch

Ebenfalls am 21. Oktober wurde eine gefälschte Willhaben-Kontowarnung gemeldet.

Die Nachricht behauptet, ein fremdes Gerät habe versucht, auf das Benutzerkonto zuzugreifen. Der Empfänger müsse das Konto umgehend bestätigen, um eine Sperre zu verhindern.

Weitere aktuelle Varianten

Die Watchlist Internet verzeichnet außerdem neue Nachrichten im Namen von PayPal und der Österreichischen Gesundheitskasse.

Wer ist betroffen?

Österreichische Privatpersonen, Selbständige und Unternehmen, insbesondere Nutzer der genannten Dienste.

Was sollte man tun?

• Keine Links aus unerwarteten Sicherheits- oder Zahlungsaufforderungen öffnen.
• ID Austria, FinanzOnline, Willhaben und andere Dienste ausschließlich über die offiziellen Apps oder selbst eingegebene Webadressen aufrufen.
• Keine Passwörter, TANs oder Kreditkartendaten über verlinkte Formulare eingeben.
• Bei bereits eingegebenen Zugangsdaten unverzüglich die betroffenen Konten absichern und gegebenenfalls die Bank kontaktieren.

Was ist passiert?

Die Watchlist Internet warnt am 20. Oktober vor gefälschten Nachrichten im Namen von Amazon Prime.

Darin wird behauptet, dass die kostenlose Testphase in 72 Stunden ende.

Die Empfänger sollen ihre Mitgliedschaft oder Zahlungsinformationen über einen Link überprüfen.

Die Betrüger verwenden das bekannte Amazon-Design und eine scheinbar harmlose Erinnerung, um Betroffene auf eine gefälschte Website zu locken.

Wer ist betroffen?

Amazon- und Amazon-Prime-Nutzer.

Was sollte man tun?

Den Status einer Prime-Mitgliedschaft ausschließlich über die offizielle Amazon-App oder das selbst aufgerufene Amazon-Konto kontrollieren.

Kreditkartendaten nicht über Links aus unerwarteten E-Mails eingeben.

Was ist passiert?

Microsoft hat bestätigt, dass bestimmte Oktober-2026-Sicherheitsupdates für Windows Server zu Problemen mit lokal betriebenen Exchange-Servern führen können.

Das Problem hängt mit Änderungen im Windows RPC Endpoint Mapper zusammen.

Unter bestimmten Bedingungen können Exchange-Dienste instabil werden.

Zu den beobachteten Auswirkungen gehören:

• Outlook Web App funktioniert nicht zuverlässig.
• Benutzer können sich möglicherweise nicht anmelden.
• E-Mail-Warteschlangen wachsen.
• Die E-Mail-Zustellung wird verzögert oder unterbrochen.
• Exchange-Server können nach längerer Betriebszeit instabil werden.

Am 19. Oktober wurde die Problematik erneut von IT-Fachmedien aufgegriffen.

Wer ist betroffen?

Unternehmen mit lokal betriebenen Exchange-Servern auf betroffenen Windows-Server-Versionen.

Relevant sind insbesondere Windows Server 2019, 2022 und 2025 sowie entsprechende ältere Serverumgebungen.

Was sollte man tun?

Zunächst kontrollieren, ob die Oktober-Updates installiert wurden und Exchange-Symptome auftreten.

Microsoft hat eine temporäre Konfigurationsänderung veröffentlicht, mit der der RPC-Grenzwert angepasst werden kann.

Die Änderung sollte ausschließlich durch Administratoren nach Prüfung der offiziellen Microsoft-Anleitung und im Rahmen eines kontrollierten Wartungsfensters erfolgen.

Wichtig: Die Oktober-Sicherheitsupdates sollten nicht pauschal deinstalliert werden, da dadurch gleichzeitig wichtige Sicherheitskorrekturen entfernt würden.

Was ist passiert?

Microsoft hat am 13. Oktober die regulären Sicherheitsupdates für Windows und weitere Microsoft-Produkte veröffentlicht.

Das belgische Centre for Cybersecurity warnte vor der großen Zahl behobener Schwachstellen und empfahl die zeitnahe Installation der Sicherheitsupdates.

Die Oktober-Updates sind damit weiterhin ein wichtiges Thema für das Patchmanagement von Unternehmen.

Wer ist betroffen?

Insbesondere Unternehmen mit:

• Windows 11
• Windows Server 2025
• Windows Server 2022
• Windows Server 2019
• Microsoft Office und Microsoft 365 Apps
• weiteren lokal betriebenen Microsoft-Produkten

Was sollte man tun?

Den Patchstand über Windows Update, Intune, WSUS oder die jeweils eingesetzte Endpoint-Management-Lösung kontrollieren.

Bei produktiven Servern sollte die Installation im Rahmen des geregelten Patchmanagements erfolgen.

Bei Exchange-Servern ist zusätzlich das oben beschriebene bekannte Betriebsproblem zu berücksichtigen.

Was ist passiert?

Am 13. Oktober 2026 endete die reguläre Unterstützung von Windows 11 Version 24H2 in den Editionen Home und Pro.

Diese Editionen erhalten keine weiteren regulären monatlichen Sicherheitsupdates.

Windows 11 24H2 Enterprise und Education besitzen dagegen einen längeren Supportzeitraum.

Wer ist betroffen?

Privatanwender und Unternehmen mit Windows 11 24H2 Home oder Pro.

Was sollte man tun?

Die installierte Windows-Version mit winver oder unter Einstellungen → System → Info kontrollieren.

Betroffene Geräte auf eine weiterhin unterstützte Windows-11-Version aktualisieren.

Unternehmen sollten diese Prüfung zentral über ihre Endpoint-Verwaltung durchführen.

Die PHP-Sicherheitslücken zeigen besonders deutlich, wie schnell sich eine kritische Schwachstelle zu einem weltweiten Sicherheitsereignis entwickeln kann.

Zwischen der offiziellen Veröffentlichung der Sicherheitsupdates und umfangreichen Angriffsversuchen lagen nur wenige Stunden. Einzelne Sicherheitsunternehmen berichten sogar von Angriffsaktivitäten vor der Veröffentlichung.

Für Unternehmen ist deshalb entscheidend, kritische Sicherheitswarnungen nicht nur im Rahmen eines monatlichen Patchdays zu behandeln.

Internet-exponierte Systeme, Webserver und zentrale IT-Infrastruktur müssen bei bestätigten kritischen Schwachstellen auch außerhalb regulärer Wartungszyklen kurzfristig aktualisiert werden können.