Was passiert ist

Am 21. Oktober 2026 hat das PHP-Team ein Notfall-Sicherheitsupdate veröffentlicht. Grund dafür war das Durchsickern von Details zu zwei kritischen Schwachstellen, CVE-2026-109618 und CVE-2026-109619, kurz vor dem geplanten Release. Beide erhielten einen CVSS-Wert von 9,2 von 10.

Das Wesen der Bedrohung

Dies ist eine klassische Unauthenticated Remote Code Execution: Für den Angriff sind weder Passwörter, Cookies noch Administratorrechte erforderlich. Es reicht aus, einen speziell präparierten Request zu senden, um ein beliebogenes Skript auszuführen, eine Shell zu starten, einen Miner zu installieren oder die Datenbank abzugreifen.

Wer ist gefährdet

Im Visier stehen alle PHP-Installationen, die Webanfragen verarbeiten: Setups mit Apache (mod_php), PHP-FPM, php-cgi, LiteSpeed und FrankenPHP. Der potentielle Radius reicht von WordPress-Blogs bis hin zu großen E-Commerce-Projekten.

Der Exploit ist bereits aktiv

Analysten von Cloudflare zufolge wird die Schwachstelle bereits aktiv ausgenutzt, und im Darknet verbreiten sich automatisierte Massenscanning-Skripte. Ein Zeitfenster für entspannte Testläufe von Updates gibt es nicht mehr.

Was jetzt zu tun ist

Es muss umgehend auf die sicheren Releases aktualisiert werden: PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35. Betreiber veralteter Versionen (PHP 8.1 und älter), für die keine Patches vorgesehen sind, müssen ihren Stack dringend aktualisieren oder Anwendungen bis zum Abschluss der Migration durch strenge WAF-Regeln auf CDN-Ebene schützen.