PHP-Sicherheitslücke: Diese Versionen beheben zwei kritische Fehler

PHP veröffentlichte am 21. Oktober 2026 Sicherheitskorrekturen für die kritischen Schwachstellen CVE-2026-109618 und CVE-2026-109619. Beide können Angreifern ohne Anmeldung Remote Code Execution (RCE) ermöglichen, also das Ausführen von Code auf einem Server. PHP stuft alle Installationen, die Webanfragen verarbeiten, als gefährdet ein. Betreiber sollten auf die korrigierte Version ihres PHP-Zweigs oder das Update ihres Paket-Anbieters wechseln. PHPs Sicherheitsmitteilung nennt die betroffenen Konfigurationen und die vorläufigen Maßnahmen im Detail.

Was die beiden Sicherheitslücken ermöglichen

Bei CVE-2026-109618 kann ein Speichermangel PHP unterbrechen, während Anfragedaten noch nicht vollständig vorbereitet sind. Bei der anschließenden Bereinigung kann PHP ungültige Daten wie gültige behandeln.

Bei CVE-2026-109619 kann interner Zustand einer Anfrage bestehen bleiben, obwohl der zugehörige Speicher bereits freigegeben wurde. Eine spätere Anfrage, die derselbe Worker bearbeitet, kann diesen veralteten Zustand verwenden.

Welche Installationen sind gefährdet?

PHP nennt PHP-FPM, Apache mit mod_php, php-cgi, FrankenPHP und LiteSpeed als betroffene Webserver-Konfigurationen. Das höchste Risiko sieht das Projekt bei Apache mit mod_php.

Welche PHP-Versionen enthalten die Korrekturen?

PHP veröffentlichte korrigierte Upstream-Versionen für vier Zweige:

Wer PHP über eine Linux-Distribution oder einen Anbieter mit Langzeitunterstützung (LTS) bezieht, sollte dessen Paketstand prüfen. PHP 8.1 und ältere Zweige erhalten keine Updates mehr vom PHP-Projekt; einige Distributionen und LTS-Anbieter stellen jedoch zurückportierte Korrekturen bereit. Das PHP-Sicherheitsteam veröffentlichte zudem minimale Quellcode-Backports für PHP 7.4, 8.0 und 8.1, vor allem für eigene Builds und Installationen ohne LTS-Anbieter. Ein Backport für den Quellcode sagt für sich genommen nichts über den Stand eines konkreten Anbieterpakets aus.

Auch PHP, das in Geräten oder Diensten gebündelt ist, gehört in die Bestandsaufnahme. Das britische National Cyber Security Centre (NCSC) empfiehlt Organisationen, PHP-Systeme zu erfassen und internetseitig erreichbare Installationen zuerst zu prüfen. Für Betreiber verwalteter Umgebungen heißt das: Den zuständigen Paket-, Geräte- oder Dienstanbieter und dessen Updatehinweise einbeziehen.

Was Betreiber tun können, wenn ein Update nicht sofort möglich ist

PHP beschreibt die vorläufigen Einstellungen als unvollständige Maßnahmen, die nur bestimmte Angriffspfade einschränken. Sie ersetzen kein Update.

Für CVE-2026-109618 empfiehlt PHP, memory_limit=-1 so zu setzen, dass Anwendungen den Wert nicht überschreiben können. Zusätzlich soll post_max_size niedrig sein: PHP nennt 8M für Anwendungen ohne Datei-Uploads und 32M, wenn Uploads nötig sind. upload_max_filesize soll unter post_max_size liegen. Auch mit diesen Einstellungen kann ein Fehler bei der Speicherreservierung den verwundbaren Pfad erreichen.

Für CVE-2026-109619 empfiehlt PHP, session.upload_progress.enabled=0 vor dem Einlesen der Anfrage zu setzen und alle Worker neu zu starten. Für PHP 8.5 nennt das Projekt außerdem fatal_error_backtraces=0 und ebenfalls einen Neustart der Worker. Diese Einstellung beschränkt den bestätigten Pfad über fatal-error-Backtraces.

Das NCSC empfiehlt, auf ein Update zu wechseln und weitere Hinweise der Anbieter zu verfolgen. Lassen sich die vorläufigen Maßnahmen nicht rechtzeitig anwenden, sollten Organisationen erwägen, das System bis zur vollständigen Absicherung offline zu nehmen. Ist weder ein sofortiges Update noch das Abschalten möglich, sollen Betreiber vor der Abhilfe nach Anzeichen einer Kompromittierung und nach installierten Hintertüren suchen. Die NCSC-Empfehlungen beziehen außerdem Drittanbieterprodukte ein, die PHP mitbringen.

Was Website-Besucher tun können

Die Schwachstellen betreffen PHP auf dem Server. Den Patch muss daher die Organisation einspielen, die das PHP-System betreibt; Besucher einer Website können das Server-Update nicht selbst installieren.