Die kritischen PHP-Sicherheitslücken im Oktober 2026 haben gezeigt, wie schnell eine bekannte Schwachstelle zum akuten Unternehmensrisiko werden kann. Konsequentes Patch-Management gehört deshalb zu den Grundlagen moderner Informationssicherheit.
Am 21. Oktober 2026 wurden Sicherheitsupdates für zwei kritische Schwachstellen in PHP veröffentlicht. PHP ist eine weltweit verbreitete Technologie, die hinter unzähligen Webseiten und Webanwendungen arbeitet. Die beiden Schwachstellen CVE-2026-109618 und CVE-2026-109619 konnten eine sogenannte Remote Code Execution ermöglichen: Unter bestimmten Voraussetzungen konnte ein Angreifer ohne vorherige Authentifizierung Schadcode auf einem betroffenen Server ausführen.
Die Situation wurde so ernst bewertet, dass Europäische Kommission, ENISA, CERT-EU, Europol und weitere europäische Stellen gemeinsam zum unmittelbaren Handeln aufforderten. Internetseitig erreichbare Systeme sollten prioritär aktualisiert werden. Wenn ein Update nicht kurzfristig möglich war, wurde empfohlen, gefährdete Anwendungen gegebenenfalls vom öffentlichen Netz zu isolieren.
Auch tatsächlich beobachtete Angriffsversuche wurden gemeldet.
Der Fall ist ein gutes Beispiel dafür, warum Patch-Management kein nebensächliches IT-Thema ist.
Was ist Patch-Management überhaupt?
Software enthält Fehler. Einige davon beeinträchtigen lediglich Funktionen, andere können sicherheitsrelevant sein. Hersteller veröffentlichen deshalb regelmäßig Updates beziehungsweise sogenannte Patches, mit denen bekannte Schwachstellen geschlossen werden.
Patch-Management bedeutet jedoch mehr, als gelegentlich auf „Update installieren“ zu klicken. Ein Unternehmen muss wissen, welche Systeme eingesetzt werden, welche Softwarestände vorhanden sind und welche Sicherheitsupdates verfügbar sind. Anschließend muss bewertet werden, wie kritisch eine Schwachstelle ist und wie schnell ein Update eingespielt werden muss.
Gerade bei besonders kritischen Schwachstellen können Stunden oder wenige Tage einen erheblichen Unterschied machen.
Nicht nur PHP und nicht nur Webserver
Der aktuelle PHP-Fall macht das Thema besonders sichtbar. Patch-Management betrifft jedoch praktisch die gesamte IT-Landschaft eines Unternehmens.
Dazu gehören Betriebssysteme auf Servern ebenso wie Windows-Arbeitsplätze und oder MAC-Notebooks. Auch Exchange-Server, SharePoint, Firewalls, VPN-Systeme, Router, Datenbanken und andere Infrastrukturkomponenten müssen aktuell gehalten werden.
Bei Webseiten kommen weitere Ebenen hinzu. Neben dem Betriebssystem und PHP müssen beispielsweise Content-Management-Systeme wie WordPress, Drupal oder Joomla sowie eingesetzte Erweiterungen und Plugins regelmäßig aktualisiert werden.
Gerade Plugins werden häufig übersehen. Eine Webseite kann auf einem aktuellen Server laufen und trotzdem angreifbar sein, wenn ein seit Jahren nicht mehr gepflegtes Plugin eine bekannte Sicherheitslücke enthält.
„Das System läuft doch“ ist kein Sicherheitsargument
Eines der größten Probleme beim Patch-Management ist paradoxerweise, dass veraltete Systeme häufig problemlos funktionieren.
Solange kein Fehler sichtbar ist, entsteht schnell der Eindruck, dass kein Handlungsbedarf besteht. Eine Sicherheitslücke muss jedoch keinen sichtbaren Fehler verursachen. Das System kann für seine Nutzer völlig normal arbeiten und gleichzeitig für Angreifer verwundbar sein.
Deshalb sollten Updates nicht erst dann installiert werden, wenn ein Problem auftritt.
Ein offenes Scheunentor funktioniert schließlich auch hervorragend – nur leider nicht ausschließlich für den Eigentümer.
Patch-Management ist auch Datenschutz
Sobald IT-Systeme personenbezogene Daten verarbeiten, wird ihre Sicherheit gleichzeitig zu einer datenschutzrechtlichen Frage. Artikel 32 DSGVO verlangt angemessene technische und organisatorische Maßnahmen zum Schutz personenbezogener Daten.
Dazu gehört auch, bekannte Sicherheitsrisiken angemessen zu behandeln.
Ein Unternehmen, das kritische Sicherheitsupdates über längere Zeit nicht installiert, muss sich im Falle eines erfolgreichen Angriffs deshalb nicht nur mit dem technischen Schaden beschäftigen. Es kann zusätzlich die Frage entstehen, ob die getroffenen Sicherheitsmaßnahmen überhaupt angemessen waren.
Dass ungepatchte Systeme ein reales Problem darstellen, zeigen auch frühere Warnungen des BSI. So stellte die Behörde bereits bei Firewall-Systemen fest, dass bekannte und längst geschlossene Schwachstellen in Deutschland weiterhin auf zahlreichen Geräten vorhanden waren, weil Updates offenbar nicht installiert worden waren.
Wer ist verantwortlich?
Auch hier ist die organisatorische Frage entscheidend. Wer prüft in Ihrem Unternehmen Sicherheitsmeldungen? Wer entscheidet über die Dringlichkeit eines Updates? Wer installiert es? Und wer kontrolliert anschließend, ob das Update tatsächlich erfolgreich durchgeführt wurde?
Bei extern betreuten Systemen kommt eine weitere Frage hinzu: Ist eindeutig geregelt, ob der IT-Dienstleister, der Hostinganbieter, der Webseitenbetreuer oder das Unternehmen selbst für Updates verantwortlich ist?
„Wir dachten, das macht der Dienstleister“ ist nach einem Sicherheitsvorfall keine gute Ausgangslage.
Verantwortlichkeiten sollten deshalb klar dokumentiert sein.
Nicht jedes Update kann sofort installiert werden
In komplexen Umgebungen ist es nicht immer möglich, jedes Update innerhalb von Minuten einzuspielen. Anwendungen können voneinander abhängig sein und ein Patch muss gegebenenfalls zunächst getestet werden.
Ein professionelles Patch-Management berücksichtigt das.
Entscheidend ist jedoch, dass Sicherheitsupdates bewertet und priorisiert werden. Eine kritische, aktiv ausgenutzte Schwachstelle in einem öffentlich erreichbaren Server muss anders behandelt werden als ein kleiner Funktionsfehler in einer internen Anwendung.
Ist ein Patch kurzfristig nicht möglich, müssen gegebenenfalls alternative Schutzmaßnahmen getroffen werden – beispielsweise eine Einschränkung oder vorübergehende Abschaltung eines Dienstes.
Unser Praxistipp
Prüfen Sie einmal ganz konkret, ob Sie folgende Frage beantworten können:
Wie lange dauert es in unserem Unternehmen vom Bekanntwerden einer kritischen Sicherheitslücke bis zur Installation des entsprechenden Sicherheitsupdates?
Wenn darauf niemand eine klare Antwort geben kann, fehlt möglicherweise nicht das Update – sondern der Prozess dahinter.
Die aktuelle PHP-Sicherheitslücke hat erneut gezeigt, wie schnell aus einem technischen Detail ein akutes Sicherheitsrisiko werden kann. Ein funktionierendes Patch-Management schließt das Scheunentor, bevor jemand hindurchgeht.