BSI-Einschätzung · ergänzt um 17:32 MESZ

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) bewertet die Lage in seinem Sicherheitshinweis vom 21. Oktober 2026, Version 1.1, mit Stufe 3 von 4, Orange: Maßnahmen sind unverzüglich erforderlich. Das BSI rechnet mit einer kurzfristigen Ausnutzung verwundbarer Systeme. Meldungen über erste Angriffsversuche konnte es zum Stand dieses Hinweises noch nicht verifizieren. Die Prognose ist deshalb von einer bestätigten Angriffskampagne zu unterscheiden.

Ein Update des CMS oder einer anderen Anwendung allein reicht nicht: Auch die zugrunde liegende PHP-Laufzeit muss gepatcht werden. PHP in Containern ist ebenfalls zu aktualisieren; gegebenenfalls müssen Images neu gebaut und ausgerollt werden. Bei Appliances sind Firmware-Hinweise des Herstellers zu prüfen. Eine Web Application Firewall kann bekannte Angriffswege begrenzen, ersetzt das Patchen aber nicht. Wenn zeitnahes Patchen nicht möglich ist, empfiehlt das BSI, eine vorübergehende Trennung vom Internet zu erwägen. Vorsorgliche Abschaltungen können daher die Nichterreichbarkeit von Portalen erklären, ohne eine Kompromittierung zu belegen.

Quelle: BSI-IT-Sicherheitshinweis BITS-H 2026-297981-1132, Version 1.1 vom 21.10.2026, TLP:CLEAR. Eigenständige Zusammenfassung durch SITsolutions.

Technische Ergänzung · 16:49 MESZ

Die PHP-Advisories dokumentieren erfolgreiche Codeausführung in Tests gegen Apache mod_php und – bei der Schwachstelle im Sitzungslebenszyklus – auch gegen PHP-FPM unter bestimmten Anwendungsbedingungen. Bei mod_php kann der Angriff bereits vor dem Anwendungscode greifen; eine Anmeldung in der Anwendung bietet deshalb keinen verlässlichen Schutz gegen diesen Angriffsweg. Diese Testnachweise belegen keine laufende Angriffskampagne.

Wichtig für die Prüfung auf Vorfälle: Fehlende verdächtige Protokolleinträge beweisen keine Sicherheit. Konfiguration, Anwendungsverhalten und Systemintegrität müssen ebenfalls geprüft werden. Das Abschalten von Fehlermeldungen oder der Upload-Fortschrittsanzeige für Sitzungen ersetzt die vollständigen Sicherheitsupdates nicht.