Manchmal überschlagen sich die Ereignisse in lauter Hektik in der IT: In den vergangenen Tagen lief unser Team auf Hochtouren. Gleich mehrere kritische Sicherheitslücken in zentralen Infrastruktur- und Laufzeitkomponenten erforderten sofortiges Handeln, kurzfristige Patch-Koordination und zusätzliche Einsatzbereitschaft über die regulären Arbeitszeiten hinaus.

In kritischen Momenten zeigt sich, worauf es ankommt: schnelle Reaktionszeiten, klare Kommunikation und die Bereitschaft, genau dann da zu sein, wenn es brennt. Hier ist eine Zusammenfassung der Schwachstellen, die uns in den letzten Tagen intensiv beschäftigt haben.

Die Sicherheitswarnungen im Überblick

1. PHP2Shell (CVE-2026-109618 & CVE-2026-109619)

Das gravierendste Thema der letzten Tage betrifft direkt den PHP-Core. Unter dem Namen PHP2Shell wurden zwei kritische Schwachstellen bekannt, die auf Fehler im Umgang mit Speicher und internen Zuständen zurückgehen. Angreifer können diese unter bestimmten Bedingungen ausnutzen, um ohne vorherige Authentifizierung Schadcode auf betroffenen Servern auszuführen (Remote Code Execution, RCE).

Die Tragweite ist enorm: PHP kommt weltweit bei zahlreichen Webanwendungen zum Einsatz und auch ältere Versionen sind betroffen. Das BSI bewertet die Gefährdung mit der Kritikalität 3 (Orange). Das PHP-Projekt hat deshalb am 21. Oktober 2026 Sicherheitsupdates veröffentlicht und empfiehlt dringend eine Aktualisierung. Für nicht mehr regulär unterstützte PHP-Versionen müssen geeignete Sicherheits-Backports oder eine Migration geprüft werden.

Unser Einsatz: Wir haben umgehend die von uns betreuten PHP-Umgebungen auf verwundbare Versionsstände geprüft und die verfügbaren Sicherheitsupdates beziehungsweise geeignete Hersteller-Backports eingespielt.

2. PHP Upload-Sitzungen (CVE-2026-115560)

Zusätzlich zu den kritischen Core-Lücken machte das PHP-Projekt am 23. Oktober auf einen weiteren möglichen Angriffsweg im Bereich Session Upload Progress aufmerksam. Auch hier kann es unter bestimmten Umständen zur Ausführung von Schadcode kommen. Allerdings setzt die Ausnutzung eine ungewöhnliche Kombination bestimmter Session-Einstellungen und Anwendungsvorgänge voraus.

Da ein regulärer Fix erst mit dem nächsten PHP-Bugfix-Release angekündigt ist, empfiehlt das PHP-Projekt für betroffene Konfigurationen vorübergehend die Deaktivierung von Session Upload Progress über session.upload_progress.enabled=0.

Unser Einsatz: Wir haben relevante PHP-Konfigurationen überprüft und dort, wo es erforderlich war, mit der empfohlenen temporären Schutzmaßnahme gegengesteuert, um das mögliche Einfallstor zu schließen.

3. Node.js-Sicherheitsrelease

Auch im JavaScript-Umfeld gab es akuten Handlungsbedarf: Das offizielle Node.js-Sicherheitsrelease vom 21. Oktober 2026 schloss zehn verschiedene Sicherheitslücken, von denen vier mit dem Schweregrad „High“ eingestuft wurden.

Die Schwachstellen betreffen unterschiedliche Bereiche der Laufzeitumgebung, darunter die Verarbeitung von Netzwerkverbindungen, Zertifikaten und komprimierten Daten. Gerade weil Node.js häufig für Webanwendungen, APIs und andere serverseitige Dienste eingesetzt wird, war auch hier eine zeitnahe Prüfung und Aktualisierung wichtig.

Unser Einsatz: Wir haben die betroffenen Node.js-Laufzeiten in den von uns betreuten Kundenprojekten systematisch überprüft und auf geeignete Sicherheitsversionen aktualisiert, um laufende Services und APIs abzusichern.

4. Brotli-Decoder-Schwachstelle (CVE-2026-111497)

Ebenfalls im Fokus stand eine Komponente der Datenkomprimierung: Die Brotli-Decoder-Lücke (CVE-2026-111497) ermöglicht es Angreifern unter bestimmten Bedingungen, durch speziell präparierte komprimierte Daten Speicherfehler auszulösen. Die möglichen Folgen reichen von Prozessabstürzen über die Offenlegung von Prozessspeicher bis hin zur Ausführung von Schadcode (RCE).

Besonders relevant: Die Sicherheitslücke ist nicht auf Node.js beschränkt. Brotli wird auch in anderen Softwarekomponenten eingesetzt. So hat beispielsweise das PHP-Projekt am 26. Oktober aktualisierte Windows-Builds veröffentlicht, weil der betroffene Decoder unter bestimmten Voraussetzungen auch über die cURL-Erweiterung erreichbar sein kann.

Betroffene Laufzeitumgebungen müssen daher aktualisiert werden, und auch eingebundene Bibliotheken und weitere Komponenten, die Brotli-Daten verarbeiten, müssen auf eine mögliche Betroffenheit geprüft werden.

Unser Einsatz: Wir haben deshalb nicht nur die betroffenen Node.js-Dienste aktualisiert, sondern auch relevante Abhängigkeiten und Komponenten überprüft, die den verwundbaren Brotli-Decoder verwenden könnten.

Auf den IT-Partner muss im Ernstfall Verlass sein

Solche Phasen zeigen einmal mehr, dass IT-Sicherheit ein fortlaufender Prozess ist. Sie erfordert proaktives Monitoring, schnelle Reaktionszeiten und Partner, die im Ernstfall unverzüglich bereitstehen.

Denn: Wenn kritische Sicherheitslücken bekannt werden, zählt nicht nur, wie schnell Updates verfügbar sind, sondern auch, wie schnell betroffene Systeme identifiziert und abgesichert werden können.

Wenn Sie Unterstützung bei der Absicherung Ihrer Infrastruktur benötigen oder prüfen lassen möchten, ob Ihre Systeme von den aktuellen Schwachstellen betroffen sind, kommen Sie gerne auf uns zu.

Eure
Textor & Team IT Service GmbH

Kontaktiere uns gerne für weitere Informationen.

Hier gehts zum Kontakt →