PHP veröffentlicht Fixes für CVE-2026-109618 und CVE-2026-109619

PHP veröffentlichte am 21. Oktober 2026 Sicherheitsupdates für CVE-2026-109618 und CVE-2026-109619. Die Fehler sind in den Upstream-Versionen PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35 behoben. PHP bewertet beide Schwachstellen mit CVSS v4.0 jeweils mit 9,2. Ein veröffentlichtes Upstream-Update bedeutet jedoch nicht automatisch, dass es bereits als Paket auf einem bestimmten Server installiert ist.

Diese PHP-Versionen beheben beide CVEs

Wer einen dieser Zweige nutzt, kann die passende Versionsnummer direkt zuordnen. Bei einem Paket des Betriebssystem- oder Hosting-Anbieters zählt dessen bereitgestellte Version; die Upstream-Nummer allein sagt nicht, welcher Stand auf einem Server läuft.

Zwei Fehler im PHP-Kern ermöglichen Codeausführung

PHP beschreibt beide Schwachstellen als mögliche Wege zu nicht authentifizierter Remotecodeausführung. Bei CVE-2026-109618 kann ein Speichermangel die Verarbeitung unterbrechen, während interne Anfragedaten erst teilweise initialisiert sind. Bei der anschließenden Bereinigung können ungültige Daten wie gültige behandelt werden.

CVE-2026-109619 betrifft einen anderen Ablauf: Interner, einer Anfrage zugeordneter Zustand kann bestehen bleiben, obwohl der zugehörige Speicher bereits freigegeben wurde. Eine spätere Anfrage desselben Workers kann diesen veralteten Zustand nutzen, bevor die normale Initialisierung ihn zurücksetzt.

PHP stuft alle Installationen, die Webanfragen verarbeiten, als gefährdet ein. Dazu zählt PHP-FPM ebenso wie Apache mit mod_php, php-cgi, FrankenPHP und LiteSpeed. Das höchste Risiko sieht PHP bei mod_php: Eine nicht authentifizierte Anfrage kann den Angriffsweg erreichen, bevor Anwendungscode ausgeführt wird.

Vorläufige Einstellungen begrenzen einzelne Angriffspfade

PHP bezeichnet ein Update als einzige vollständige Behebung. Einstellungen können bestimmte Wege erschweren, machen eine Installation laut PHP aber nicht sicher.

Für CVE-2026-109618 empfiehlt PHP memory_limit=-1, so konfiguriert, dass Anwendungen den Wert nicht überschreiben können. Das verhindert einen kontrollierbaren Fehler durch das PHP-Speicherlimit; ein Fehler bei der Speicherreservierung auf einer tieferen Ebene kann den anfälligen Pfad weiterhin auslösen. PHP empfiehlt außerdem ein niedriges post_max_size: 8 MB, wenn keine Datei-Uploads nötig sind, und 32 MB, wenn Uploads gebraucht werden. upload_max_filesize soll dabei unter post_max_size liegen.

Für bestätigte Session-Pfade von CVE-2026-109619 empfiehlt PHP session.upload_progress.enabled=0 und einen Neustart aller Worker. Die Einstellung muss vor der Verarbeitung der Anfrage greifen; PHP zufolge reichen ini_set() und .user.ini dafür nicht aus. Sie blockiert bestätigte Session-Pfade, aber nicht andere Varianten. Für PHP 8.5 nennt PHP zusätzlich fatal_error_backtraces=0 samt Neustart aller Worker. Damit wird nur der bestätigte Pfad über Backtraces bei fatalen Fehlern blockiert.

PHP nennt weitere technische Bedingungen und Grenzen in seiner Sicherheitsmitteilung. Die dort aufgeführten Einstellungen ersetzen das Update nicht.

PHP 8.1 und ältere Zweige

PHP veröffentlicht keine Projektupdates mehr für PHP 8.1 und ältere Zweige. Das PHP-Sicherheitsteam stellte minimale Quellcode-Backports für PHP 7.4, 8.0 und 8.1 bereit, unter anderem für Personen, die PHP selbst aus dem Quellcode bauen oder keinen LTS-Anbieter nutzen. Ein solcher Backport ist nicht automatisch ein installiertes Paket. PHP verweist für Anbieterpakete auf die jeweilige Distribution oder den Hosting-Anbieter; alternativ empfiehlt das Projekt den Wechsel auf einen unterstützten Zweig.

Für PHP 8.2 endet der Support am 31. Dezember 2026. Nach diesem Datum erhält der Zweig laut PHP keine weiteren Sicherheitsupdates.