--- title: "Roter Code für das halbe Internet: Notfall-PHP-Patches schließen kritische RCE-Schwachstellen" description: "Am 21. Oktober 2026 hat das PHP-Team Notfall-Patches gegen zwei kritische RCE-Schwachstellen (CVE-2026-109618 und CVE-2026-109619) veröffentlicht, deren Details vor dem Release durchsickerten. Der Exploit wird bereits im Netz ausgenutzt." date: 2026-10-21T15:19:11.674Z lang: de url: https://xab.info/de/posts/php-rce-kritische-schwachstelle-notfall-patch tags: [php, cybersecurity, rce-vulnerability, web-security, cloudflare] author: "Alexander Buran, Roman V." publisher: "XAB.info" --- # Roter Code für das halbe Internet: Notfall-PHP-Patches schließen kritische RCE-Schwachstellen ![Notfall-PHP-Sicherheitsupdate zur Behebung kritischer Schwachstellen](https://xab.info/media/2026/10/21/php-rce-critical-vulnerability-emergency-patch/php-rce-critical-vulnerability-emergency-patch-1.webp) ## Kernpunkte - Das PHP-Team hat Notfall-Patches gegen zwei kritische RCE-Schwachstellen mit einem CVSS-Score von 9,2 veröffentlicht. - Ein Vorab-Leak von Exploit-Details führte zu massiven Hackversuchen, die von Scannern registriert werden. - Sichere Releases: PHP 8.5.12, 8.4.27, 8.3.36, 8.2.35; für Versionen 8.1 und älter sind keine Patches vorgesehen. ### Was passiert ist Am 21. Oktober 2026 hat das PHP-Team ein Notfall-Sicherheitsupdate veröffentlicht. Grund dafür war das Durchsickern von Details zu zwei kritischen Schwachstellen, CVE-2026-109618 und CVE-2026-109619, kurz vor dem geplanten Release. Beide erhielten einen CVSS-Wert von 9,2 von 10. ### Das Wesen der Bedrohung Dies ist eine klassische Unauthenticated Remote Code Execution: Für den Angriff sind weder Passwörter, Cookies noch Administratorrechte erforderlich. Es reicht aus, einen speziell präparierten Request zu senden, um ein beliebogenes Skript auszuführen, eine Shell zu starten, einen Miner zu installieren oder die Datenbank abzugreifen. ### Wer ist gefährdet Im Visier stehen alle PHP-Installationen, die Webanfragen verarbeiten: Setups mit Apache (mod_php), PHP-FPM, php-cgi, LiteSpeed und FrankenPHP. Der potentielle Radius reicht von WordPress-Blogs bis hin zu großen E-Commerce-Projekten. ### Der Exploit ist bereits aktiv Analysten von Cloudflare zufolge wird die Schwachstelle bereits aktiv ausgenutzt, und im Darknet verbreiten sich automatisierte Massenscanning-Skripte. Ein Zeitfenster für entspannte Testläufe von Updates gibt es nicht mehr. ### Was jetzt zu tun ist Es muss umgehend auf die sicheren Releases aktualisiert werden: PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35. Betreiber veralteter Versionen (PHP 8.1 und älter), für die keine Patches vorgesehen sind, müssen ihren Stack dringend aktualisieren oder Anwendungen bis zum Abschluss der Migration durch strenge WAF-Regeln auf CDN-Ebene schützen. ## Faktencheck und Quellen - [Ручное создание украшений ручной работы в ремесленной мастерской - Сток картинки...](https://www.istockphoto.com/ru/%D1%84%D0%BE%D1%82%D0%BE/%D1%80%D1%83%D1%87%D0%BD%D0%BE%D0%B5-%D1%81%D0%BE%D0%B7%D0%B4%D0%B0%D0%BD%D0%B8%D0%B5-%D1%83%D0%BA%D1%80%D0%B0%D1%88%D0%B5%D0%BD%D0%B8%D0%B9-%D1%80%D1%83%D1%87%D0%BD%D0%BE%D0%B9-%D1%80%D0%B0%D0%B1%D0%BE%D1%82%D1%8B-%D0%B2-%D1%80%D0%B5%D0%BC%D0%B5%D1%81%D0%BB%D0%B5%D0%BD%D0%BD%D0%BE%D0%B9-%D0%BC%D0%B0%D1%81%D1%82%D0%B5%D1%80%D1%81%D0%BA%D0%BE%D0%B9-gm2205737329-623110976) - Stockbild, enthält keine Informationen über PHP-Schwachstellen. - [Рабочим является производство динамиков и громкоговорителей на заводе. Ручное создание ...](https://www.istockphoto.com/ru/%D1%84%D0%BE%D1%82%D0%BE/%D1%80%D0%B0%D0%B1%D0%BE%D1%87%D0%B8%D0%BC-%D1%8F%D0%B2%D0%BB%D1%8F%D0%B5%D1%82%D1%81%D1%8F-%D0%BF%D1%80%D0%BE%D0%B8%D0%B7%D0%B2%D0%BE%D0%B4%D1%81%D1%82%D0%B2%D0%BE-%D0%B4%D0%B8%D0%BD%D0%B0%D0%BC%D0%B8%D0%BA%D0%BE%D0%B2-%D0%B8-%D0%B3%D1%80%D0%BE%D0%BC%D0%BA%D0%BE%D0%B3%D0%BE%D0%B2%D0%BE%D1%80%D0%B8%D1%82%D0%B5%D0%BB%D0%B5%D0%B9-%D0%BD%D0%B0-%D0%B7%D0%B0%D0%B2%D0%BE%D0%B4%D0%B5-%D1%80%D1%83%D1%87%D0%BD%D0%BE%D0%B5-%D1%81%D0%BE%D0%B7%D0%B4%D0%B0%D0%BD%D0%B8%D0%B5-gm1388741372-446283498) - Stockbild, enthält keine Informationen über PHP-Schwachstellen. ## Häufige Fragen ### Welche PHP-Versionen haben die Schwachstellen behoben? Als sicher wurden die Releases PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35 eingestuft. ### Was sollen Betreiber von PHP 8.1 und älter tun? Für diese Versionen sind keine Patches vorgesehen: Der Stack muss dringend aktualisiert oder die Anwendung bis zur Migration durch strenge WAF-Regeln auf CDN-Ebene abgesichert werden. ### Wie gefährlich sind diese Schwachstellen? Beide erhielten einen CVSS-Score von 9,2 von 10 und erlauben die Ausführung von beliebigen Code ohne Authentifizierung.