Zwei kritische PHP-Sicherheitslücken: Sofortiges Sicherheitsupdate erforderlich

Zwei kritische PHP-Sicherheitslücken: Sofortiges Sicherheitsupdate erforderlich

Am 21. Oktober 2026 veröffentlichte das PHP-Projekt Sicherheitsupdates für zwei kritische Schwachstellen, die eine nicht authentifizierte Remote-Code-Ausführung ermöglichen können. Es liegen Berichte über aktive Angriffe vor.

Da wir keinen Zugriff auf Ihren VPS, VDS oder dedizierten Server haben, können wir das Update nicht für Sie installieren. Wir bitten Sie daher, das Update umgehend einzuspielen, sobald die entsprechenden Sicherheitsupdates für Ihr System verfügbar sind.


Die Schwachstellen

  • CVE-2026-109618: Remote-Code-Ausführung durch Speicherbeschädigung bei einem Out-of-Memory-Fehler (OOM).
  • CVE-2026-109619: Remote-Code-Ausführung aufgrund eines veralteten globalen Zustands.

Beide Schwachstellen sind nach CVSS v4.0 mit 9,2 von 10 Punkten als kritisch eingestuft. Alle PHP-Installationen, die Webanfragen verarbeiten, sind gefährdet. Dazu gehören PHP-FPM, Apache mit mod_php, php-cgi, FrankenPHP und LiteSpeed. Das höchste Risiko besteht bei mod_php.

Ausführliche Informationen finden Sie in der offiziellen PHP-Sicherheitsmitteilung.

Verfügbare PHP-Versionen mit Sicherheitskorrekturen

Folgende PHP-Versionen enthalten die entsprechenden Sicherheitskorrekturen:

  • PHP 8.5.12
  • PHP 8.4.27
  • PHP 8.3.36
  • PHP 8.2.35 (Support-Ende am 31. Dezember 2026 – planen Sie daher rechtzeitig ein Upgrade.)

PHP 8.1 und ältere Versionen erhalten keine regulären Sicherheitsupdates mehr vom PHP-Projekt. Wenn Sie eine dieser Versionen verwenden, sollten Sie auf eine unterstützte Version aktualisieren oder prüfen, ob Sicherheitskorrekturen vom jeweiligen Anbieter zurückportiert wurden.

Minimale Backports der entsprechenden Quellcode-Korrekturen für PHP 7.4, 8.0 und 8.1 sind verfügbar, allerdings nur zum Erstellen aus dem Quellcode.

Was Sie jetzt tun sollten

  1. Backup erstellen: Erstellen Sie vor dem Update einen Snapshot oder eine vollständige Sicherung Ihres Servers.
  2. PHP aktualisieren: Installieren Sie die Sicherheitsupdates über den Paketmanager Ihrer Linux-Distribution oder über Ihr Hosting-Control-Panel, sobald sie verfügbar sind.
  3. Dienste neu starten: Starten Sie PHP-FPM, Apache oder den entsprechenden Webserver neu, damit alle Worker die aktualisierte Version laden. Ohne Neustart kann weiterhin der alte Code ausgeführt werden.
  4. Version überprüfen: Kontrollieren Sie die tatsächlich verwendete PHP-Version, beispielsweise mit php -v und über eine phpinfo() -Seite für den Webserver. Überprüfen Sie sämtliche auf dem Server installierten PHP-Versionen.
  5. Übergangsmassnahmen anwenden: Falls Sie nicht sofort aktualisieren können, setzen Sie die vorläufigen Schutzmassnahmen aus der offiziellen PHP-Sicherheitsmitteilung um. Diese Massnahmen reduzieren lediglich das Risiko und bieten keinen vollständigen Schutz. Nur das Einspielen der Sicherheitskorrekturen behebt das Problem vollständig.
Wo Sie die Updates für Ihr Hosting-Control-Panel finden
cPanel/WHM und EasyApache 4

Die Updates für EasyApache 4 sind bereits verfügbar. Führen Sie die cPanel-Aktualisierung jetzt über WHM oder mit dem Befehl /scripts/upcp aus. Starten Sie anschließend PHP-FPM und Apache neu und überprüfen Sie die tatsächlich verwendeten PHP-Versionen.

Weitere Informationen finden Sie in den cPanel-Dokumentationen.

Plesk

Updates für Plesk Obsidian sind bereits verfügbar. Aktualisieren Sie Ihr System direkt über das Plesk-Control-Panel.

CloudLinux (Alt-PHP)

Verfolgen Sie den Status der Updates auf der CloudLinux-Statusseite und im CloudLinux-Blog. CloudLinux bietet außerdem erweiterten Support für PHP-Versionen, deren reguläre Wartung bereits eingestellt wurde.

Linux-Distributionen

Prüfen Sie die Sicherheitshinweise Ihrer jeweiligen Linux-Distribution, beispielsweise Debian, Ubuntu, AlmaLinux, Rocky Linux oder RHEL.

Drittanbieter-Repositories

Das von Freiwilligen gepflegte Repository rpms.remirepo.net stellt Updates nicht unbedingt am Tag der Veröffentlichung bereit. Das PHP-Projekt empfiehlt, stattdessen Pakete der jeweiligen Linux-Distribution zu verwenden oder PHP aus dem Quellcode zu kompilieren.

Bewährte Sicherheitsmassnahmen
  • Aktivieren Sie, sofern möglich, automatische Sicherheitsupdates und überprüfen Sie die entsprechenden Einstellungen in Ihrem Hosting-Control-Panel.
  • Entfernen Sie nicht mehr benötigte PHP-Versionen und Anwendungen.
  • Halten Sie Ihr CMS sowie alle Plugins und Themes auf dem neuesten Stand.
  • Verwenden Sie eine Web Application Firewall (WAF) und beschränken Sie den Zugriff auf administrative Oberflächen.
  • Überprüfen Sie Ihren Server auf mögliche Anzeichen einer Kompromittierung, beispielsweise unbekannte Dateien in Webverzeichnissen, neu angelegte Cronjobs, ungewöhnliche Prozesse oder auffällige Lastspitzen und ausgehenden Netzwerkverkehr.