Es gibt eine kritische Sicherheitslücke mit dem CVE-2026-109619 im PHP, die über WebServer und ein Memory Leak auf die Shell ausbrechen kann. Es funktioniert auf allen via Internet erreichbaren WebServer, die PHP einsetzen. Davon betroffen sind auch viele Firewalls, Storages, Router und ähnliche Devices.

Detaillierte Information finden Sie unter anderem bei Heise, bzw. bei einem der Entdecker: wiz.io.

Update - Nachrichten aus anderen Quellen am 21. Oktober 2026 um 19:30:

• Futurezone.at: KI entdeckt gefährliche PHP-Lücke: Webseiten auf der ganzen Welt offline
• news.orf.at: Sicherheitslücken bedrohen Websites
• Wikipedia: php2shell
• Cert.eu: php2shell
• BSI (Deutschland): PHP: Kritische Schwachstellen bedrohen Webanwendungen weltweit

Wir empfehlen notfalls betroffene Systeme zu offline zu nehmen und Patches so schnell wie möglich einzuspielen. 

Update zu VMware ESX:

• Broadcom hat anfänglich bestritten, dass VMware auch betroffen ist. Inzwischen gibt es Angriffen die eine ältere (von Broadcom noch nicht behobene) Sicherheitslücke nutzen um im Anschluss die PHP Lücke auszunutzen. Angeblich gibt es inzwischen aber einen Patch für die Lücke. Weitere Informationen bei heise.de.