CZ warnt vor kritischen PHP-Lücken mit Auswirkungen auf Millionen Websites

Der Binance-Gründer Changpeng Zhao, besser bekannt als CZ, ruft Internetnutzer dazu auf, beim Besuch von Websites besonders vorsichtig zu sein. Anlass sind zwei schwerwiegende Sicherheitslücken in PHP, der Programmiersprache, auf der ein großer Teil des Webs basiert. Die Lücken betreffen Server, auf denen populäre Plattformen wie WordPress und Magento laufen; aktive Angriffe sind bereits bestätigt. Betreiber, die ihre Software noch nicht aktualisiert haben, riskieren, dass Besucher ihrer Seite Angriffen ausgesetzt werden.

In Kürze:

• Zwei PHP-Schwachstellen (CVE-2026-109618 und CVE-2026-109619) wurden am 21. Oktober 2026 gepatcht, nachdem Details vorzeitig durchgesickert waren.
• Angreifer können ohne Authentifizierung bösartigen Code auf verwundbaren Servern ausführen, was zum Diebstahl von Zugangsdaten führen kann.
• CZ rät Nutzern, in den kommenden Tagen beim Besuch von Websites besonders aufmerksam zu sein.

Lücken vorzeitig durchgesickert, Patches sofort veröffentlicht

Die beiden Schwachstellen mit den Kennungen CVE-2026-109618 und CVE-2026-109619 wurden bekannt, nachdem technische Details früher als geplant an die Öffentlichkeit gelangt waren. Das zwang die zuständigen Stellen, die Sicherheitsupdates am 21. Oktober 2026 beschleunigt herauszubringen.

Die Lücken ermöglichen es Angreifern, ohne Anmeldung bösartigen Code auf einem verwundbaren Server auszuführen. Besucher einer kompromittierten Website können dadurch Opfer von Diebstahl ihrer Zugangsdaten oder von Angriffen auf ihr Gerät werden.

Angriffe bereits im Gange, nicht alle Betreiber haben gepatcht

Kurz nach Bekanntwerden der Lücken wurden bereits tatsächliche Angriffe beobachtet. IT-Teams reagierten schnell, aktivierten WAF-Schutz, eine Art digitale Schutzschicht, die verdächtigen Datenverkehr filtert, und spielten die Patches ein.

Dennoch ist die Gefahr noch nicht gebannt. Nicht alle Website-Betreiber aktualisieren ihre Software umgehend, sodass ein Teil der betroffenen Server vorerst ungeschützt bleibt. Das gilt insbesondere für Seiten, die auf WordPress oder Magento laufen, zwei der am häufigsten genutzten Plattformen weltweit.

CZ weist darauf hin, dass es ratsam ist, in den kommenden Tagen beim Surfen im Web wachsam zu bleiben, solange nicht alle Betreiber die verfügbaren Updates eingespielt haben.