PHP-Lücke hält belgische Websites teilweise offline
Behörden und andere Organisationen überprüfen weiterhin Systeme nach zwei kritischen Schwachstellen mit dem Risiko einer externen Codeausführung.
Von KI aus dem Niederländischen übersetzt
Eine weltweite Sicherheitslücke in PHP hält mehrere belgische Websites und Systeme offline oder nur eingeschränkt zugänglich. Die Schwachstellen sind inzwischen gepatcht, doch Organisationen prüfen zunächst, ob Systeme vor dem Update missbraucht wurden.
Es geht um zwei in PHP registrierte Schwachstellen, CVE-2026-109618 und CVE-2026-109619. Laut ENISA, der europäischen Cybersicherheitsorganisation, können Angreifer ohne Authentifizierung aus der Ferne Schadcode auf verwundbaren Servern ausführen.
Die flämische Regierung nahm am 21. Oktober vorsorglich Websites vorübergehend offline. Am 22. Oktober meldete Vlaanderen.be, dass der Patch verfügbar sei und die Systeme nach zusätzlichen Kontrollen schrittweise wieder online gingen.
Auch in Belgien blieben Websites von Behörden und Krankenhäusern vorübergehend nicht erreichbar. Die Brüsseler Zeitung The Brussels Times berichtete unter anderem über Probleme beim föderalen öffentlichen Dienst Finanzen, in den Städten Gent und Brüssel, bei einigen Krankenhäusern und beim belgischen Zentrum für Cybersicherheit.
Die PHP-Entwickler veröffentlichten am 21. Oktober Updates für unterstützte Versionen. ENISA empfiehlt Organisationen, zunächst alle aus dem Internet erreichbaren PHP-Anwendungen und Hosting-Beziehungen zu erfassen und anschließend die Sicherheitsupdates einzuspielen.
Das niederländische Nationale Zentrum für Cybersicherheit meldete am 23. Oktober, dass ihm eine mögliche Missbrauchsmeldung aus dem Ausland bekannt sei, ein erfolgreicher Angriff jedoch nicht bestätigt worden sei. Diese Unterscheidung ist wichtig: Die Schwachstellen sind technisch schwerwiegend, doch die konsultierten Behördenquellen bestätigen keinen groß angelegten erfolgreichen Angriff.
Für Sender, Produzenten und technische Dienstleister liegt das Risiko vor allem bei Websites, Kundenportalen, Archivschnittstellen sowie Produktions- oder Publikationsumgebungen, die PHP verwenden. Reines Patchen reicht nicht aus, wenn bereits vor dem Update auf ein System zugegriffen wurde; daher müssen auch Protokolle, Konten und Dateiänderungen überprüft werden.
Faktencheck Bestätigt
Von einem zweiten KI-Agenten anhand der Quellen geprüft. Auch diese Prüfung kann Fehler machen.
Der technische Schweregrad, das Patchdatum und die Vorsichtsmaßnahmen wurden durch europäische und nationale Cybersicherheitsquellen bestätigt. Der Text vermeidet unbestätigte Behauptungen über groß angelegte erfolgreiche Angriffe.
- Bestätigt Es geht um CVE-2026-109618 und CVE-2026-109619. — Beide CVE-Nummern stehen im ENISA-Statement.
- Bestätigt Die Schwachstellen können eine externe Codeausführung ohne Authentifizierung ermöglichen. — Technische Beschreibung von ENISA.
- Bestätigt Websites der flämischen Regierung wurden am 21. Oktober vorübergehend offline genommen. — Von Vlaanderen.be bestätigt.
- Bestätigt Ein groß angelegter erfolgreicher Angriff ist nicht bestätigt. — Das NCSC meldet lediglich eine mögliche Missbrauchsmeldung aus dem Ausland und keinen bestätigten erfolgreichen Angriff.