Am 21. Oktober 2026 empfahl NÚKIB wegen zweier kritischer Schwachstellen eine rasche PHP-Aktualisierung; Úřad vlády České republiky und Český hydrometeorologický ústav nahmen vorübergehend einen Teil ihrer Websites vom Netz.
Die Nationale Behörde für Cyber- und Informationssicherheit (Národní úřad pro kybernetickou a informační bezpečnost, NÚKIB) empfahl am 21. Oktober 2026 den Betreibern von Websites und Diensten, die die Programmiersprache PHP nutzen, eine sofortige Aktualisierung. Grund sind zwei kritische Schwachstellen, zusammenfassend php2shell genannt, die es einem Angreifer ermöglichen, aus der Ferne und ohne Anmeldung eigenen Code auf dem Server auszuführen. Korrekturen und die für eine Ausnutzung nötigen Informationen sind öffentlich verfügbar. Die korrigierten Versionen sind PHP 8.2.35, 8.3.36, 8.4.27 und 8.5.12.[1][2][3]
Die Entwickler wurden am 20. Oktober 2026 über die Fehler informiert; anschließend gab es Berichte über Versuche, sie auszunutzen. Laut Lupa.cz wurden sie von der Sicherheitsfirma Wiz entdeckt, und die Fehler waren mehr als zehn Jahre im Code verborgen.[1][3]
Der Úřad vlády České republiky nahm seine Website am 21. Oktober 2026 um 19:00 Uhr vorsorglich vorübergehend vom Netz, damit Sicherheitskorrekturen vorgenommen werden konnten. Einige ihrer Websites, etwa hydro.chmi.cz, nahm auch der Český hydrometeorologický ústav vorübergehend außer Betrieb. Laut der Agentur Reuters waren zuvor Regierungsbehörden in Deutschland, Frankreich, den Niederlanden und Finnland ähnlich vorgegangen.[1][2][3]
Verwandte Artikel: PHP
Chronologie
- — Das Národní úřad pro kybernetickou a informační bezpečnost empfahl Betreibern von PHP-Websites wegen kritischer Sicherheitslücken ein rasches Update, und das Úřad vlády České republiky nahm seine Websites vom Netz. ČTK / České noviny Hospodářské noviny
Quellen
- ČTK / České noviny — 21. Oktober 2026
- Hospodářské noviny — 21. Oktober 2026
- Lupa.cz — 21. Oktober 2026