Kritische PHP-Sicherheitslücken
Jetzt handeln!
Am 21. Oktober 2026 hat das PHP-Projekt Notfall-Updates für zwei kritische Schwachstellen veröffentlicht: CVE-2026-109618 und CVE-2026-109619. Beide sind mit einem CVSS-Wert von 9,2 bewertet und erlauben es Angreifern, ohne Authentifizierung beliebigen Code auf dem Server auszuführen. Laut CERT-EU kursieren bereits erste Proofs of Concept. Das erhöht die Wahrscheinlichkeit, dass die Lücken aktiv ausgenutzt werden.
Was ist betroffen?
Betroffen sind alle PHP-Installationen, die Webanfragen verarbeiten, unter anderem PHP-FPM, Apache mit mod_php, php-cgi, FrankenPHP und LiteSpeed. Konkret gilt das für:
PHP 8.5 vor 8.5.12
PHP 8.4 vor 8.4.27
PHP 8.3 vor 8.3.36
PHP 8.2 vor 8.2.35
PHP 8.1 und älter (offiziell nicht mehr unterstützt)
Auch Anwendungen, die PHP im Hintergrund nutzen, können betroffen sein, etwa WordPress, Shopware, Magento, TYPO3 oder Laravel-Anwendungen sowie viele kommerzielle Produkte.
Was sollten Sie jetzt tun?
PHP aktualisieren auf 8.5.12, 8.4.27, 8.3.36 oder 8.2.35 bzw. das passende Paket Ihrer Linux-Distribution einspielen.
Veraltete Versionen ersetzen: Bei PHP 8.1 und älter hilft nur ein Upgrade oder ein Backport des Herstellers bzw. Ihres Hosting-Anbieters.
Provider und Administratoren fragen: Klären Sie, ob Ihre Website, Ihr Webshop oder Ihre Web-App bereits abgesichert ist.
CMS, Shop und Plugins prüfen: Stellen Sie sicher, dass alle Komponenten aktuell sind.
Notfalls isolieren: Wenn ein Update nicht sofort möglich ist, sollte die Anwendung vorübergehend vom öffentlichen Netz getrennt oder der Zugriff eingeschränkt werden.
Wichtig: Konfigurationsänderungen können das Risiko verringern, ersetzen aber das Update nicht. Nur das Einspielen der gepatchten Version schließt die Lücken vollständig.
