Die CERC begrüsst die schnelle Reaktion der Organisationen auf die kritischen Sicherheitslücken in PHP: Bislang liegen keine bestätigten Vorfälle vor (30.10.2026)

Im Anschluss an die Empfehlungen an Organisationen, die PHP nutzen, zieht die Stelle zur Bewertung von Cyberrisiken (CERC) nach ihrer Sitzung am 28. Oktober 2026 eine ermutigende Bilanz der Lage. Seit der Bekanntgabe zweier kritischer Sicherheitslücken in PHP haben die zuständigen Behörden bislang weder nachweisbare Versuche einer böswilligen Ausnutzung noch bestätigte Kompromittierungen im Zusammenhang mit diesen Schwachstellen festgestellt.

Bei ihrer Sitzung am 21. Oktober hatte die CERC eine Bewertung der Bedrohungslage im Anschluss an die Veröffentlichung dieser Schwachstellen vorgenommen und mehrere Empfehlungen für die betroffenen Organisationen ausgesprochen.

Die CERC empfahl insbesondere die rasche Installation der von den Herstellern bereitgestellten Sicherheitspatches. War deren sofortige Bereitstellung nicht möglich, riet sie zur Umsetzung geeigneter Ausgleichsmaßnahmen auf der Grundlage einer Risikoanalyse und, falls erforderlich, zur vorübergehenden Außerbetriebnahme der gefährdeten Systeme.

Darüber hinaus wurden die Betreiber aufgefordert, ihre Umgebungen auf eine mögliche Kompromittierung zu überprüfen und bei Bedarf die Unterstützung ihres zuständigen CSIRT in Anspruch zu nehmen. Dieselben Empfehlungen wurden auch vom GOVCERT an kritische Einrichtungen weitergeleitet.

Die CERC begrüßt das rasche Handeln der betroffenen Akteure und stellt fest, dass die ergriffenen Maßnahmen, insbesondere die zügige Anwendung der Sicherheitspatches, zu einer deutlichen Verringerung der mit diesen Schwachstellen verbundenen Risiken geführt haben. Die Situation wird jedoch weiterhin beobachtet, und die Organisationen werden aufgefordert, ein hohes Maß an Wachsamkeit aufrechtzuerhalten sowie ihre Aktivitäten zur Überwachung und Aktualisierung der Sicherheitsmaßnahmen fortzusetzen.

Teilnehmer der CERC: HCPN/GOVCERT, ILR, CSSF, CTIE, LHC/CIRCL, luxemburgische Armee, CGIE, Restena, SRE

Mitgeteilt von: Stelle zur Bewertung von Cyberrisiken (CERC)