Axios berichtete am 22. Oktober, am Vortag sei ein möglicher Angriff über zwei PHP-Sicherheitslücken aufgetaucht und Dutzende Websites seien vorübergehend abgeschaltet worden. Die PHP Foundation erklärte am 21. Oktober, ihr Sicherheitsteam habe zum Zeitpunkt der Veröffentlichung keine funktionsfähigen Exploits identifiziert. PHP hatte die beiden Lücken an diesem Tag mit neuen Versionen behoben.
Was über den möglichen Angriff bekannt ist
Axios meldete einen möglichen Angriff und vorübergehende Abschaltungen, keine bestätigten Übernahmen der betroffenen Websites. Die Aussage der PHP Foundation bezog sich auf den Stand bei Veröffentlichung der Updates: Das Team hatte zu diesem Zeitpunkt keine funktionsfähigen Exploits identifiziert.
Die Sicherheitsmitteilung erschien nach einer gestörten Veröffentlichungsvorbereitung. Nach Angaben der PHP Foundation kursierten die CVE-Kennungen bereits am 20. Oktober. Am 21. Oktober wurden außerdem korrigierte Binärdateien vor der koordinierten Veröffentlichung verfügbar. PHP zog daraufhin den Zeitplan vor und veröffentlichte die Sicherheitsupdates noch am selben Tag.
Zwei PHP-Sicherheitslücken mit unterschiedlichen Ursachen
Beide Schwachstellen können unter den von PHP beschriebenen Bedingungen nicht authentifizierte Remotecodeausführung ermöglichen. Dabei kann ein Angreifer Code auf einem Server ausführen, ohne sich zuvor anzumelden. Die beiden Fehler entstehen jedoch auf unterschiedliche Weise:
| CVE | Ursache | Beschriebene Auswirkung |
| CVE-2026-109618 | Speicherfehler bei einem Out-of-Memory-Zustand; teilweise initialisierte Anfragedaten können als gültig behandelt werden. | Nicht authentifizierte Remotecodeausführung. Wiz demonstrierte außerdem die Offenlegung von Prozessspeicher aus der Ferne. |
| CVE-2026-109619 | Veralteter globaler Zustand nach einem fatalen Fehler; ein späterer Aufruf kann freigegebenen Speicher erneut verwenden. | Nicht authentifizierte Remotecodeausführung unter den von PHP beschriebenen Bedingungen. |
PHP stuft alle Installationen, die Webanfragen verarbeiten, als gefährdet ein und nennt Apache mit mod_php als besonders riskante Konfiguration. Wiz demonstrierte Remotecodeausführung auf damaligen Container-Abbildern von WordPress, Drupal und Joomla. Die Schwachstellen liegen laut Wiz in PHP selbst und sind nicht auf diese Anwendungen beschränkt.
Menschen nutzten KI bei der Recherche, PHP-Maintainer erstellten die Fixes
OpenAI zufolge fand Calif im Rahmen des Programms Patch the Planet mit Unterstützung von GPT-5.6 Sol eine kritische Schwachstelle. Wiz entdeckte und meldete nach eigener Darstellung unabhängig beide Lücken. Die PHP Foundation beschrieb weitere Meldungen von Calif und OpenAI. Die Korrekturen erarbeiteten und veröffentlichten PHP-Maintainer.
Hinweise auf den Speicherfehler CVE-2026-109618 hatte ein PHP-Kernentwickler bereits 2024 gefunden. Damals war noch kein konkreter Exploit-Pfad bekannt. Im August 2026 meldete der Calif-Forscher Ryan A eine Remotecodeausführung mit derselben Ursache. Die PHP Foundation räumte ein, dass die Arbeit an der Behebung ins Stocken geraten war.
Diese PHP-Versionen enthalten die Korrekturen
PHP veröffentlichte am 21. Oktober 2026 die korrigierten Versionen 8.5.12, 8.4.27, 8.3.36 und 8.2.35. Beide Schwachstellen erhielten in der PHP-Mitteilung jeweils einen Wert von 9,2 nach CVSS 4.0.
Die Korrekturen und betroffenen Versionszweige ordnet NeoTeo im Überblick zu den PHP-Sicherheitsupdates ein. PHP bezeichnet ein Update als einzige vollständige Behebung; Konfigurationsänderungen können einzelne Angriffswege begrenzen, ersetzen den Patch aber nicht. Für PHP 8.1 und ältere Zweige stellt das PHP-Projekt keine Updates mehr bereit. Einige Anbieter können Korrekturen zurückportieren. Die offizielle PHP-Sicherheitsmitteilung führt die CVEs, betroffenen Installationen und behobenen Versionen auf.
