Zusammenfassung

  • Ofcom ruft Kommunikationsanbieter und Betreiber wesentlicher digitaler Infrastrukturdienste dazu auf, die britischen Hinweise zu zwei kritischen PHP-Lücken dringend zu prüfen.
  • In den kommenden Tagen und Wochen will die Behörde mit beaufsichtigten Diensten klären, wie die Schwachstellen im Rahmen ihrer regulatorischen Pflichten behoben werden.

Manchmal beginnt eine Aufsichtsfrage mit einer unscheinbaren Datei auf einem Webserver. Ofcoms Mitteilung vom 23. Oktober richtet sich an sämtliche Kommunikationsanbieter und Betreiber wesentlicher Dienste im Teilsektor digitale Infrastruktur. Sie sollen die Empfehlungen der britischen Cybersicherheitsbehörde dringend berücksichtigen. Ofcom kündigt Gespräche mit den beaufsichtigten Diensten in den nächsten Tagen und Wochen an, um deren Abhilfe im Zusammenhang mit regulatorischen Pflichten zu verstehen. Der Patch hat nun einen Platz auf der Tagesordnung.

Der Warnhinweis des NCSC nennt CVE-2026-109618 und CVE-2026-109619. Speicherfehler bei der Bearbeitung von Anfragen können unter bestimmten Bedingungen eine unauthentifizierte Ausführung fremden Codes ermöglichen. PHP steckt häufig hinter Websites, kann aber auch Verwaltungsoberflächen und begleitende Systeme von Netzdiensten betreiben. Wer nur die sichtbare Startseite zählt, misst womöglich den falschen Bestand.

Das PHP-Projekt veröffentlichte korrigierte Fassungen: 8.5.12, 8.4.27, 8.3.36 und 8.2.35. Linux-Distributionen und Langzeit-Supportanbieter können die Korrektur in ältere Pakete zurückportieren. Deshalb gehören Paketquelle und tatsächlich installierte Korrektur in dieselbe Liste wie die Versionsnummer. Eine grüne Anzeige bei einem einzelnen Server sagt wenig über alle anderen Installationen.

Das NCSC empfiehlt, PHP-Vorkommen systematisch zu erfassen und zunächst die aus dem Internet erreichbaren Systeme zu behandeln. Danach folgen Updates; wo diese nicht sofort möglich sind, kommen die beschriebenen Zwischenmaßnahmen in Betracht. Wenn weder Aktualisierung noch wirksame Zwischenlösung zeitnah gelingt, soll eine Abschaltung erwogen werden. Bei Diensten, die sich weder sofort aktualisieren noch deaktivieren lassen, gehört die Prüfung auf Hinweise auf eine Kompromittierung vor die Änderung.

Damit wird aus technischer Wartung eine betriebliche Entscheidung über Erreichbarkeit, Schutz und Verantwortung. Ofcom hat Gespräche angekündigt, ohne einzelne Unternehmen oder Prüfergebnisse zu nennen. Für jeden Betreiber bleibt dieselbe nüchterne Frage: Welche PHP-Instanzen sind vorhanden, welche sind korrigiert, und wer trägt die Entscheidung für die noch erreichbaren?