Das PHP-Projekt hat am 21. Oktober 2026 Sicherheitsupdates für zwei kritische Schwachstellen veröffentlicht. Betroffen sind sehr viele Websites und Shops, denn WordPress, WooCommerce, Shopware, TYPO3 und zahlreiche weitere Systeme laufen auf PHP. Unser Rat: Spielen Sie die Updates jetzt ein. Die korrigierten Versionen sind PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35.
Das ist bekannt
Die beiden Lücken tragen die Kennungen CVE-2026-109618 und CVE-2026-109619 und sind nach CVSS 4.0 jeweils mit 9,2 von 10 Punkten bewertet. Nach Angaben des PHP-Projekts kann ein Angreifer darüber ohne Anmeldung Schadcode auf dem Server ausführen.
Bei CVE-2026-109618 kann PHP bei Speichermangel mitten in der Verarbeitung einer Anfrage unterbrochen werden, sodass interne Daten nur halb vorbereitet sind. Die anschließende Aufräumroutine hält diese Daten dann für gültig. Bei CVE-2026-109619 bleibt interner Zustand einer Anfrage bestehen, obwohl sein Speicher schon freigegeben wurde, und eine spätere Anfrage im selben Worker kann ihn verwenden.
Betroffen ist jede PHP-Installation, die Webanfragen bedient, also PHP-FPM, Apache mit mod_php, php-cgi, FrankenPHP und LiteSpeed. Am höchsten schätzt das PHP-Projekt das Risiko bei mod_php ein, dort ist ein Angriff nachgewiesen, der ausgelöst wird, bevor Anwendungscode läuft. Nach den Warnungen unter anderem von CERT-EU reicht die Lücke zurück bis mindestens PHP 5.
Wie groß die Gefahr ist
Bis zur Veröffentlichung waren keine bestätigten Angriffe bekannt. Das BSI hielt es für wahrscheinlich, dass die Lücken innerhalb weniger Stunden nach Erscheinen der Patches breit ausgenutzt werden, auch weil sich Patches heute mit KI-gestützten Werkzeugen schnell analysieren lassen. heise security rechnete mit funktionierenden Exploits innerhalb von Stunden, spätestens binnen Tagen.
Das PHP-Projekt stellt klar, dass es keine vollständigen Workarounds gibt und nur das Update sicher ist. Zusätzliche Einstellungen decken lediglich einzelne Angriffswege ab. Das gilt auch für session.upload_progress.enabled=0, das nach Angaben des PHP-Projekts nur die bestätigten Wege über Sessions blockiert, andere Varianten aber nicht. heise security hatte diese Einstellung zunächst als wirkungslos eingestuft. Verlassen Sie sich deshalb nicht darauf.
Was jetzt zu tun ist
Kunden mit gebuchtem Service müssen nichts unternehmen. Wir kümmern uns automatisch um die Updates ihrer Systeme.
Wer seine Website selbst betreibt, geht je nach Hosting unterschiedlich vor. Bei Plesk kommen die gepatchten PHP-Versionen über die Plesk-Updates (Tools & Settings, Updates). Auf einem eigenen Server oder VPS wird PHP meist über die Paketverwaltung der Linux-Distribution aktualisiert, zum Beispiel mit apt. Die Distributionen liefern Korrekturen oft als Backport unter einer eigenen Versionsnummer aus. Vergleichen Sie Ihre Version deshalb mit dem Sicherheitshinweis Ihrer Distribution. Außerdem zeigt php -v nur die Version der Kommandozeile, der Webserver kann eine andere nutzen. Wer das Remi-Repository einsetzt, bekommt nach Angaben des PHP-Projekts heute keine Updates und sollte auf Distributionspakete wechseln oder selbst bauen. Wer Docker einsetzt, baut die Images mit gepatchtem PHP neu und startet die Container neu, ein Update auf dem Host genügt nicht. Bei Managed Hosting fragen Sie Ihren Anbieter, ob und wann er die Updates einspielt.
Prüfen Sie nach dem Update, ob die PHP-Dienste neu gestartet wurden, und beobachten Sie exponierte Webserver einige Tage genauer, zum Beispiel in den Logs. Prüfen Sie auch Software, die selbst auf PHP basiert, etwa Nextcloud oder die Firewall-Systeme pfSense und OPNsense, ob deren Hersteller schon Updates bereitstellen.
Alte PHP-Versionen jetzt ablösen
PHP 8.1 und älter erhalten vom PHP-Projekt keine Updates mehr. Manche Distributionen und LTS-Anbieter liefern Korrekturen als Backport, außerdem stellt das PHP-Projekt für PHP 7.4, 8.0 und 8.1 minimale Quellcode-Backports bereit, falls Sie selbst bauen. Planen Sie trotzdem den Umzug auf eine unterstützte Version. PHP 8.2 erhält nur noch bis zum 31. Dezember 2026 Sicherheitsupdates. Testen Sie vor dem Umzug, ob Ihr CMS, Ihr Shop und Ihre Plugins mit der neuen Version laufen.
Aktualisiert am 21. Oktober 2026: Das PHP-Projekt hat die Updates veröffentlicht, die korrigierten Versionen stehen oben im Beitrag.
Quellen
- PHP-Projekt: Security Advisory zu den kritischen Lücken – Versionen, Details und Teilmaßnahmen.
- PHP-Projekt: Vorankündigung des Security-Releases – Termin und Bewertung.
- heise security: Wichtige PHP-Updates am 21. Oktober beheben Codeeinschleusung-Schwachstellen – Einschätzung zu Exploits und Workarounds.
- BSI: Meldung zur Bedrohungslage, Stufe 3 / Orange (Kennzeichen 297981, 21.10.2026) – Bewertung der Lage und Maßnahmen.
- CERT-EU: Security Advisory 2026-018 – Warnung vor den kritischen PHP-Lücken.
Sie sind unsicher, welche PHP-Version bei Ihnen läuft, oder möchten das Update nicht selbst einspielen? Schreiben Sie uns kurz: info@pixelutions.de