Am 21. Oktober 2026 hat das PHP-Projekt Fixes für zwei kritische Sicherheitslücken veröffentlicht, die eine Remote-Code-Ausführung ohne Authentifizierung ermöglichen können. Es wurde bereits von aktiver Ausnutzung berichtet.

Wir haben keinen Zugriff auf deinen VPS, VDS oder Dedizierten Server und können das Update daher nicht für dich durchführen. Bitte installiere es umgehend, sobald gepatchte Pakete für dein System verfügbar sind.

Die Sicherheitslücken

• CVE-2026-109618: Remote-Code-Ausführung durch Speicherbeschädigung bei Speichermangel (Out-of-Memory)
• CVE-2026-109619: Remote-Code-Ausführung durch veralteten globalen Zustand (Stale Global State)

Beide wurden auf der CVSS-v4.0-Skala mit 9,2 (kritisch) bewertet. Alle PHP-Installationen, die Webanfragen verarbeiten, sind gefährdet, darunter PHP-FPM, Apache mit mod_php, php-cgi, FrankenPHP und LiteSpeed. Das Risiko ist bei mod_php am höchsten. Alle Details findest du im offiziellen PHP-Sicherheitshinweis.

Behobene PHP-Versionen

• PHP 8.5.12
• PHP 8.4.27
• PHP 8.3.36
• PHP 8.2.35 (End of Life am 31. Dezember 2026, plane daher bitte ein Upgrade)

PHP 8.1 und ältere Versionen erhalten vom PHP-Projekt keine Updates mehr. Wenn du eine dieser Versionen einsetzt, führe bitte ein Upgrade auf eine unterstützte Version durch oder prüfe, ob rückportierte Fixes verfügbar sind. Minimale Backports des Quellcodes für PHP 7.4, 8.0 und 8.1 existieren, aber nur für den Build aus dem Quellcode.

Was du tun solltest

1. Erstelle vor dem Update einen Snapshot oder ein Backup.
2. Aktualisiere PHP über den Paketmanager deiner Distribution oder dein Hosting-Panel, sobald die gepatchte Version verfügbar ist.
3. Starte PHP-FPM, Apache oder deinen Webserver neu, damit alle Worker die neue Version laden. Ohne Neustart läuft weiterhin der alte Code.
4. Überprüfe die tatsächlich verwendete Version, zum Beispiel mit php -v und mit einer phpinfo-Seite für deinen Webserver. Prüfe jede auf dem Server installierte PHP-Version.
5. Wenn du nicht sofort aktualisieren kannst, wende die Übergangsmaßnahmen aus dem offiziellen PHP-Sicherheitshinweis an. Sie verringern nur die Angriffsfläche und machen die Installation nicht sicher. Ein Update ist die einzige vollständige Lösung.

Wo du Patches für dein Panel findest

• cPanel/WHM und EasyApache 4: Updates für EasyApache 4 sind bereits verfügbar. Führe jetzt das cPanel-Update aus (über WHM oder /scripts/upcp), starte dann PHP-FPM/Apache neu und überprüfe die verwendeten PHP-Versionen. Release Notes und Ankündigungen findest du unter docs.cpanel.net.
• Plesk: Updates für Plesk Obsidian sind bereits verfügbar. Bitte aktualisiere über das Plesk-Panel.
• CloudLinux (Alt-PHP): Verfolge die CloudLinux-Statusseite und den CloudLinux-Blog. CloudLinux bietet außerdem erweiterten Support für PHP-Versionen an, die nicht mehr gepflegt werden.
• Linux-Distributionen: Prüfe die Sicherheitshinweise deiner Distribution (Debian, Ubuntu, AlmaLinux, Rocky Linux, RHEL und andere).
• Repositories von Drittanbietern: Das ehrenamtlich gepflegte rpms.remirepo.net stellt am Veröffentlichungstag keine Updates bereit. Das PHP-Projekt empfiehlt, auf Pakete der Distribution umzusteigen oder aus dem Quellcode zu bauen.

Best Practices

• Aktiviere nach Möglichkeit automatische Sicherheitsupdates und prüfe die Update-Einstellungen deines Panels.
• Entferne PHP-Versionen und Anwendungen, die du nicht mehr nutzt.
• Halte dein CMS, deine Plugins und Themes auf dem aktuellen Stand.
• Setze eine Web Application Firewall ein und beschränke den Zugriff auf administrative Oberflächen.
• Achte auf Anzeichen einer Kompromittierung: unbekannte Dateien in Webverzeichnissen, neue Cronjobs, ungewöhnliche Prozesse oder Spitzen bei Auslastung und ausgehendem Datenverkehr.