Kritische Sicherheitslücken in PHP: Die CNPD ruft zu erhöhter Wachsamkeit und Abhilfemaßnahmen auf

23/10/2026

Die Nationale Kommission für den Datenschutz (CNPD) weist Verantwortliche und Auftragsverarbeiter auf zwei kritische Sicherheitslücken in der PHP-Laufzeitumgebung hin, die unter den Kennungen CVE-2026-109618 und CVE-2026-109619 erfasst sind.

Diese Sicherheitslücken können es böswilligen Akteuren ermöglichen, ohne vorherige Authentifizierung aus der Ferne Befehle auf den betroffenen Systemen auszuführen. Besonders gefährdet sind Systeme, die eine anfällige, nicht aktualisierte PHP-Version verwenden und aus dem Internet erreichbar sind. Ihre Ausnutzung kann die Sicherheit der IT-Systeme gefährden, insbesondere die Vertraulichkeit, Integrität und Verfügbarkeit der dort verarbeiteten personenbezogenen Daten.

Seit dem 21. Oktober 2026 stehen Sicherheitsupdates für die Versionen PHP 8.2, 8.3, 8.4 und 8.5 zur Verfügung. Die korrigierten Versionen sind PHP 8.2.35, 8.3.36, 8.4.27 bzw. 8.5.12.

Organisationen und Personen, die PHP einsetzen, werden aufgefordert, unverzüglich zu prüfen, ob sie von diesen Sicherheitslücken betroffen sind, und die erforderlichen Sicherheitsupdates einzuspielen, gegebenenfalls unter Berücksichtigung der von ihren Softwareherstellern oder Dienstleistern bereitgestellten Patches.

Empfohlene Sicherheitsmaßnahmen

Die CNPD erinnert daran, dass Verantwortliche und Auftragsverarbeiter gemäß Artikel 32 der Datenschutz-Grundverordnung (DSGVO) verpflichtet sind, geeignete technische und organisatorische Maßnahmen zu treffen, um ein dem Risiko der Verarbeitung personenbezogener Daten angemessenes Schutzniveau zu gewährleisten.

In diesem Zusammenhang empfiehlt die CNPD den betroffenen Organisationen:

• Systeme und Anwendungen zu identifizieren, die PHP verwenden, insbesondere solche, die aus dem Internet erreichbar sind;
• die installierten Versionen zu überprüfen und die entsprechenden Sicherheitsupdates unverzüglich einzuspielen, unter Berücksichtigung der Empfehlungen der jeweiligen Hersteller und Anbieter;
• sich mit ihren IT-Dienstleistern und Auftragsverarbeitern, insbesondere Hosting-Anbietern, abzustimmen, um sicherzustellen, dass die erforderlichen Sicherheitsmaßnahmen umgesetzt wurden;
• die Überwachung potenziell exponierter Systeme zu verstärken, um mögliche Anzeichen einer Kompromittierung zu erkennen;
• die Folgen eines möglichen Sicherheitsvorfalls für personenbezogene Daten sowie die daraus möglicherweise entstehenden Risiken für die Rechte und Freiheiten der betroffenen Personen zu bewerten.

Die CNPD fordert die betroffenen Organisationen zudem auf, die technischen Empfehlungen des Computer Incident Response Center Luxembourg (CIRCL) zu beachten, das eine sofortige Aktualisierung der betroffenen PHP-Umgebungen empfiehlt.

Pflichten im Falle einer Verletzung des Schutzes personenbezogener Daten

Die CNPD weist darauf hin, dass das Bestehen einer Sicherheitslücke für sich genommen noch keine Verletzung des Schutzes personenbezogener Daten im Sinne der DSGVO darstellt.

Führt ein Sicherheitsvorfall jedoch insbesondere zu einem unbefugten Zugriff auf personenbezogene Daten, zu deren Offenlegung, Veränderung, Verlust oder Vernichtung, müssen die Verantwortlichen ihre Pflichten nach den Artikeln 33 und 34 DSGVO prüfen.

Gemäß Artikel 33 DSGVO ist jede Verletzung des Schutzes personenbezogener Daten unverzüglich und möglichst binnen 72 Stunden, nachdem sie dem Verantwortlichen bekannt wurde, der zuständigen Aufsichtsbehörde zu melden, es sei denn, die Verletzung führt voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten natürlicher Personen.

Hat die Verletzung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten der betroffenen Personen zur Folge, sind auch diese unverzüglich zu benachrichtigen, vorbehaltlich der in Artikel 34 DSGVO vorgesehenen Ausnahmen.

Die CNPD ermutigt die Organisationen, besondere Wachsamkeit walten zu lassen und Sicherheitsvorfälle, die personenbezogene Daten betreffen, gemäß den Anforderungen der DSGVO zu dokumentieren.

Weitere Informationen

Für weitere Informationen zu diesen Sicherheitslücken und den empfohlenen technischen Maßnahmen werden die betroffenen Organisationen gebeten, die folgenden offiziellen Mitteilungen zu konsultieren:

• CIRCL - Bericht TR-102: https://new.circl.lu/pub/tr-102/
• PHP - Sicherheitshinweis vom 21. Oktober 2026: https://www.php.net/archive/2026.php#2026-10-21-5

Informationen zu den Pflichten in Bezug auf die Sicherheit der Verarbeitung und die Meldung von Verletzungen des Schutzes personenbezogener Daten finden Organisationen auf der Website der CNPD: https://cnpd.public.lu.