PHP-Sicherheitslücke vom 21. Oktober 2026 : Das Wesentliche — und was es für Ihr Dolibarr bedeutet

Was geschehen ist

Am Mittwoch, den 21. Oktober 2026, erlebte die Web-Welt eines der schwerwiegendsten Sicherheitsvorfälle der letzten Jahre. Zwei kritische Sicherheitslücken, von Fachleuten „PHP2Shell" genannt (referenziert als CVE-2026-109618 und CVE-2026-109619), mussten notfallmäßig in PHP behoben werden — der Programmiersprache, auf der rund 70 % aller Websites weltweit laufen : Online-Shops, Behördenwebsites, Verwaltungstools… und auch Ihr ERP-System Dolibarr.

Was den Fall außergewöhnlich macht, ist zunächst das Ausmaß : betroffen waren alle PHP-Versionen von 5.4 bis 8.5, also potenziell Millionen von Servern (laut Palo Alto Networks waren 22 Millionen Plattformen exponiert). Zum anderen ist es die Art, wie diese Lücken entdeckt wurden : durch künstliche Intelligenz, im Rahmen von Audits der Cybersicherheitsfirmen Wiz (eine Google-Tochter) und Calif, mit Unterstützung von KI-Modellen OpenAIs. Die Schwere wurde auf der internationalen CVSS-Skala mit 9,2 von 10 bewertet — ein als „kritisch" eingestuftes Niveau.

Im Anschluss an die Ankündigung wurden sehr viele Websites vorsorglich freiwillig offline genommen, solange bis die Sicherheitsupdates eingespielt waren : in Frankreich die Websites aller Präfekturen, mehrerer Ministerien (Kultur, Umwelt), die Steuer-Website und sogar Medien und Großunternehmen wie Renault. Ähnliche Maßnahmen wurden im Vereinigten Königreich, in Deutschland, Belgien, den Niederlanden, Dänemark und Finnland ergriffen. Die französische IT-Sicherheitsbehörde (Anssi) und ihr Warnzentrum CERT-FR empfahlen, noch nicht aktualisierte Server vom Netz zu nehmen ; die amerikanische NSA gab dieselbe Empfehlung.

Warum das so ernst ist — einfach erklärt

Diese beiden Lücken ermöglichten es einem Angreifer, ohne Passwort und ohne Anmeldung :

• Code aus der Ferne auf dem Server auszuführen — das heißt, die tatsächliche Kontrolle über den Rechner zu übernehmen, auf dem die Website läuft ;
• auf die Daten zuzugreifen, die auf dem Server gespeichert sind ;
• Dienstunterbrechungen (Denial of Service) zu verursachen und die Website unbrauchbar zu machen.

Konkret : Könnten Sie sich vorstellen, dass jeder Mensch auf der Welt Ihren Tresor ohne Schlüssel öffnen könnte ? Genau das war auf einem nicht gepatchten Server möglich. Und wenige Tage nach der Veröffentlichung der Updates wurden reale Angriffe beobachtet : Die amerikanische Behörde CISA hat diese Lücken am 26. Oktober offiziell in ihren Katalog der aktiv von Kriminellen ausgenutzten Schwachstellen aufgenommen.

Die eingespielten Sicherheitsupdates

Die Reaktion war schnell und gut koordiniert. Am Abend des 20. Oktober kündigte das PHP-Team der Community an, dass am Folgetag ein kritisches Update erscheinen würde. Die Patches wurden am 21. Oktober 2026 um 14:00 Uhr UTC (16:00 Uhr Pariser Zeit) veröffentlicht, in den Versionen :

• PHP 8.5.12
• PHP 8.4.27
• PHP 8.3.36
• PHP 8.2.35

Und was ist mit älteren Versionen, insbesondere PHP 7

Die Zweige PHP 7.4, 8.0 und 8.1 werden vom PHP-Projekt offiziell nicht mehr gepflegt, doch die Situation betraf so viele Server, dass auch für diese Versionen Patches veröffentlicht wurden :

• Offizielle Backports : Das PHP-Sicherheitsteam hat „zurückportierte" Patches (Source-Backports) für PHP 7.4, 8.0 und 8.1 bereitgestellt — für alle, die PHP selbst kompilieren oder keinen Patch ihres Anbieters erhalten ;
• Drittanbieter-Patches : Spezialisierte Firmen wie TuxCare bieten über ihren ELS-Dienst gepatchte Versionen für noch ältere Zweige an (bis PHP 5.2) — für Organisationen, die nicht sofort migrieren können ;
• Die Linux-Distributionen und Hosting-Anbieter haben die Patches in ihre eigenen Pakete zurückportiert : Fragen Sie bei Ihrer Distribution oder Ihrem Hoster nach, ob ein Sicherheitsupdate für Ihre PHP-7-Version verfügbar ist.

Aber Vorsicht : Diese PHP-7-Patches sind nur Übergangslösungen. Diese Zweige werden künftig keine Patches mehr erhalten (die nächste Lücke wird wahrscheinlich nicht mehr abgedeckt), und auch PHP 8.2 selbst erhält nach dem 31. Dezember 2026 keine Patches mehr. Die wirklich dauerhafte Lösung bleibt, eine Migration auf eine gepflegte PHP-Version (8.3 oder neuer) zu planen — was in der Regel auch ein Upgrade von Dolibarr mit sich bringt.

Hosting-Anbieter, Betriebssystem-Hersteller und Lösungsanbieter haben die Patches vorab erhalten und sie innerhalb von Stunden oder Tagen eingespielt. Für einen korrekt aktualisierten Server ist das Risiko heute behoben.

Was das für Ihr ERP-System Dolibarr bedeutet

Dolibarr ist eine Unternehmensverwaltungssoftware (Fakturierung, Buchhaltung, Lagerverwaltung, CRM…), die auf PHP läuft und daher direkt von dieser Lücke betroffen ist. Das sind die wichtigsten Punkte :

1. Die Lücke stammt nicht aus Dolibarr. Verwundbar war die PHP-„Engine", auf der Dolibarr aufbaut. Dolibarr selbst musste in diesem Vorfall keine Sicherheitslücke beheben.

2. Entscheidend ist die PHP-Version, die auf dem Server installiert ist, der Ihr Dolibarr hostet. Wurde der Server auf eine der oben genannten gepatchten Versionen aktualisiert, ist Ihr ERP geschützt.

3. Wenn Ihr Dolibarr bei einem Dienstleister gehostet wird (spezialisierter Hoster oder externes IT-Team), wurde das PHP-Update höchstwahrscheinlich von diesen vorgenommen. Eine einfache Frage genügt : „Läuft unser Dolibarr auf einer gepatchten PHP-Version (mindestens 8.2.35) ?"

4. Wenn Ihr Dolibarr unter Docker läuft, muss geprüft werden, ob das Container-Image mit einem gepatchten PHP neu gebaut wurde — das ist Aufgabe derjenigen, die die Installation betreuen.

5. Wenn Dolibarr auf Ihrem eigenen Server mit einer veralteten PHP-Version (7.4 bis 8.1) läuft, wurden zwar Backport-Patches veröffentlicht (siehe Abschnitt „Und was ist mit älteren Versionen"), die dauerhafte Lösung bleibt aber die Migration auf eine gepflegte PHP-Version.

Die Risiken bei Untätigkeit sind für ein Unternehmen alles andere als theoretisch : Ein Angreifer, der die Lücke ausnutzt, kann Ihre Kunden- und Lieferantendaten, Ihre Rechnungen und Bankdaten stehlen, Ihre Dateien verschlüsseln und Lösegeld erpressen oder Ihren Server für Angriffe auf andere Ziele missbrauchen.

Die richtigen Gewohnheiten für die Zukunft

Dieser Vorfall ist eine hervorragende Lektion in „Cybersicherheit für alle" :

• Halten Sie Ihre Software aktuell : Die große Mehrheit der Angriffe nutzt bereits behobene Lücken. Updates einzuspiieren bedeutet, die Tür abzuschließen.
• Prüfen Sie die PHP-Version Ihrer Web-Anwendungen mindestens einmal im Jahr und bestehen Sie auf einer weiterhin gepflegten Version.
• Sichern Sie Ihre Daten regelmäßig (Rechnungen, Dolibarr-Datenbank) auf einem getrennten Speichermedium : Das ist die beste Versicherung gegen Erpressungstrojaner.
• Schränken Sie den externen Zugriff auf Ihr Dolibarr ein, wo immer möglich, und verwenden Sie starke Passwörter.
• Im Zweifel : vom Netz nehmen — wie es die Präfekturen getan haben. Einen ungepatchten Dienst vorübergehend offline zu nehmen, ist immer besser, als ihn exponiert zu lassen.

Zusammenfassung

Am 21. Oktober 2026 bedrohten zwei kritische, mithilfe von KI entdeckte Lücken das „Rückgrat des Webs" — PHP. Dank einer außergewöhnlichen Koordination wurden die Patches in weniger als 24 Stunden veröffentlicht und flächendeckend eingespielt. Dolibarr war — wie jede auf PHP laufende Software — über seinen Server exponiert ; ein auf PHP 8.2.35 oder neuer aktualisierter Server ist heute geschützt. Wachsamkeit bleibt geboten : Diese Lücken werden aktiv ausgenutzt, und vergessene Server bleiben leichte Beute.

Wichtigste Quellen

• Anssi / CERT-FR : Warnung vom 21. Oktober 2026 zu den kritischen PHP-Schwachstellen
• PHP-Foundation : Sicherheitshinweise vom 20. und 21. Oktober 2026 (CVE-2026-109618, CVE-2026-109619)
• CISA (USA) : Alarm zur sofortigen Aktualisierung, Aufnahme in den KEV-Katalog am 26. Oktober 2026
• CERT-EU : Hinweis 2026-018 „Critical Vulnerabilities in PHP« -* Dolibarr-France-Forum : Thread „Correctif de sécurité PHP pour les failles CVE-2026-109618 et CVE-2026-109619 »
• AFP-Meldungen vom 21., 22. und 24. Oktober 2026 ; Analysen von Wiz, watchTowr, Rapid7, Unit 42, IT-Connect, Cybelangel