Die Updates sind veröffentlicht
PHP hat am 21. Oktober 2026 Updates für zwei kritische Sicherheitslücken veröffentlicht. Sie können die Ausführung von Code aus der Ferne ohne Anmeldung ermöglichen. Das Sicherheitsteam fordert für PHP-Installationen, die Webanfragen verarbeiten, eine sofortige Aktualisierung.
Die korrigierten Versionen des PHP-Projekts sind 8.5.12, 8.4.27, 8.3.36 und 8.2.35. Sie beheben CVE-2026-109618 und CVE-2026-109619. Betroffen sind die Speicherverwaltung und zwischen Anfragen erhaltene interne Zustände. Die konkrete Angriffsfläche hängt von der Serverkonfiguration ab.
Diese Frage gehört an den Hoster
Wenn dein Hostinganbieter PHP verwaltet, frage nach, ob der laufende PHP-Dienst gegen beide CVEs gepatcht wurde. Distributionsanbieter und Anbieter langfristiger Wartung können eigene korrigierte Pakete liefern. Prüfe deshalb deren Sicherheitshinweise statt ausschließlich die Versionsnummer des PHP-Projekts. Lass auch bestätigen, dass erforderliche Neustarts der Dienste abgeschlossen sind.
Bei selbst verwalteten Servern gelten die Update-Anweisungen des Paketanbieters und der offizielle PHP-Sicherheitshinweis. Ein Update von Website-Themes oder Plugins allein bestätigt keinen gepatchten PHP-Dienst.
Ältere PHP-Versionen prüfen
PHP 8.1 und ältere Zweige erhalten keine regulären Updates mehr vom PHP-Projekt. Kläre mit dem Anbieter, ob gewartete Rückportierungen verfügbar sind, oder wechsle auf einen unterstützten Zweig. Für PHP 8.2 endet der Sicherheitssupport am 31. Dezember 2026.
Laut PHP bietet nur ein Update vollständige Abhilfe. Vorübergehende Konfigurationsänderungen machen eine betroffene Installation nicht sicher. Aus den Hinweisen folgt nicht, dass jede betroffene Website bereits angegriffen oder kompromittiert wurde.
