Die Entwickler der Server-Skriptsprache PHP, die für einen Großteil der Webtechnologie im Internet von grundlegender Bedeutung ist, werden in Kürze zwei Sicherheitslücken veröffentlichen. Die folgenden CVE-Tracking-Nummern wurden bereitgestellt, allerdings mit nur begrenzten technischen Informationen und ohne Bestätigung der betroffenen Versionen durch die Kernentwickler.

• CVE-2026-109618
• CVE-2026-109619

Nach der Ankündigung und Offenlegung des Schweregrads der Sicherheitslücken begannen Sicherheitsforscher wie WatchTowr mit der Untersuchung und lieferten Details zum bevorstehenden Patch.

Dazu gehörte die Feststellung, dass es sich um Schwachstellen zur Remote-Code-Ausführung mit schwerwiegenden Auswirkungen handelt – die Remote-Code-Ausführung ist über einen breiten Versionsbereich ab PHP 5 möglich. Angesichts des Einsatzes dieser Technologien in Anwendungen mit Internetanbindung besteht ein hohes Risiko einer Ausnutzung aus der Ferne. Bemerkenswert ist, dass WatchTowr zum Zeitpunkt der Erstellung dieses Artikels nicht davon ausgeht, dass die Schwachstelle bereits ausgenutzt wird.

Am stärksten gefährdet sind alle Systeme, die PHP nutzen. Dies umfasst eine Vielzahl von Technologien, darunter WordPress, Joomla und Magento, die bereits dafür bekannt sind, dass sie in großem Umfang ausgenutzt werden.

Zum Zeitpunkt der Erstellung dieses Artikels wird die bevorstehende Veröffentlichung des Patches zu einem Wettlauf zwischen Angreifern und Systemadministratoren führen, um den Patch zu installieren, bevor Exploits entwickelt und eingesetzt werden können. Berichten zufolge sind bereits funktionierende Proof-of-Concept-Exploits verfügbar, weshalb einige Systemadministratoren ihre Websites vorübergehend vom Netz nehmen, bis der Patch veröffentlicht wird. Systeme mit PHP 8.1 oder niedriger erhalten den Patch nicht.

Wenn Sie in der Umgebung Ihres Unternehmens ein System verwalten, das PHP nutzt, empfehlen wir Ihnen, sich für Beratung und Unterstützung an Integrity360 zu wenden.

Update: Kritische Sicherheitslücke in zahlreichen PHP-Versionen wird behoben – 21.10.2026

Kürzlich wurden zwei Sicherheitslücken in PHP identifiziert, einer weit verbreiteten serverseitigen Skriptsprache, die eine Schlüsselkomponente vieler Webanwendungen darstellt. PHP hat inzwischen Sicherheitsupdates veröffentlicht, um diese Probleme zu beheben. Die folgenden CVE-Kennungen sind mit den Sicherheitslücken verknüpft.

Informationen der Entwickler zeigen, dass die beiden unten aufgeführten Sicherheitslücken mit Speicherüberlauf-Korruption und veralteten globalen Zuständen zusammenhängen.

• CVE-2026-109618: Die Behandlung von Speicherüberlauf kann PHP unterbrechen, während interne Anfragedaten nur teilweise initialisiert sind. Bei der Bereinigung der Anfrage können die ungültigen Daten dann als gültig behandelt werden.
• CVE-2026-109619: Der zu einer Anfrage gehörende interne Zustand kann bestehen bleiben, nachdem der ihm zugrunde liegende Speicher freigegeben wurde. Eine spätere Anfrage, die vom selben Worker bearbeitet wird, kann diesen veralteten Zustand nutzen, bevor er durch die normale Initialisierung zurückgesetzt wird.

Die Veröffentlichung der Patches für die Versionen 8.5.12, 8.4.27, 8.3.36 und 8.2.35 stellt laut den Entwicklern die einzige vollständige Lösung zur Behebung der Sicherheitslücke dar. Linux-Distributionen haben die Patches vorab erhalten, während ältere Versionen, einschließlich PHP 8.1 und darunter, den Patch nicht erhalten werden.

Die PHP-Entwickler erklärten:„Alle PHP-Installationen, die Webanfragen bedienen, einschließlich PHP-FPM, Apache mit mod_php, php-cgi, FrankenPHP und LiteSpeed. Wir stufen das Risiko für mod_php als am höchsten ein, da es einen nachgewiesenen Exploit gibt, bei dem eine nicht authentifizierte Anfrage den Angriff auslösen kann, bevor Anwendungscode ausgeführt wird.“ Am stärksten gefährdet sind alle Systeme, die PHP nutzen. Dies umfasst eine Vielzahl von Technologien, darunter WordPress, Joomla und Magento, die bereits dafür bekannt sind, häufig ausgenutzt zu werden.

Zum Zeitpunkt der Erstellung dieses Artikels ist der Patch bereits veröffentlicht worden, und Website-Betreiber werden nun dringend aufgefordert, alle Installationen umgehend zu aktualisieren. Berichten zufolge sind bereits funktionierende Proof-of-Concept-Exploits verfügbar, weshalb einige Systemadministratoren ihre Websites vorübergehend vom Netz nehmen, bis der Patch veröffentlicht ist.

Unternehmen, die die entsprechenden PHP-Sicherheitsupdates nicht sofort installieren können, sollten in Erwägung ziehen, betroffene, mit dem Internet verbundene Anwendungen vorübergehend offline zu nehmen, bis die Installation der Patches abgeschlossen ist. Der weitere Betrieb anfälliger Systeme kann diese einer Sicherheitsgefährdung aussetzen, insbesondere wenn PHP für nicht authentifizierte Benutzer direkt zugänglich ist.

Integrity360 wird die Veröffentlichung des Patches verfolgen und weitere Informationen bereitstellen, sobald sich die Situation bezüglich dieser kritischen Sicherheitslücke weiterentwickelt.

Wenn Sie in der Umgebung Ihres Unternehmens ein System verwalten, das PHP nutzt, empfehlen wir Ihnen, sich für Beratung und Unterstützung an Integrity360 zu wenden.