PHP Sicherheitslücke Oktober 2026: CVE-2026-109618 und CVE-2026-109619 erklärt – was Sie jetzt tun sollten

Am 21. Oktober 2026 hat das PHP-Projekt Notfall-Sicherheitsupdates für zwei kritische Sicherheitslücken veröffentlicht: CVE-2026-109618 und CVE-2026-109619, beide mit CVSS 9.2 bewertet. Sie können eine Remote-Code-Ausführung ohne Authentifizierung ermöglichen: Ein Angreifer, der eine Webanfrage an Ihren Server senden kann, kann dort unter Umständen eigenen Code ausführen, ohne sich anzumelden. Der Rat des PHP-Teams ist kurz: Jetzt aktualisieren.

Dieser Leitfaden erklärt in einfachen Worten, wer betroffen ist, welche Versionen das Problem beheben, wie Sie Ihre eigenen Server prüfen und aktualisieren und was Sie tun können, wenn ein Update heute nicht möglich ist. Alles hier basiert auf den offiziellen PHP-Ankündigungen; dort finden Sie die neuesten Details.

Was passiert ist – einfach erklärt

PHP betreibt einen großen Teil des Webs: WordPress, WooCommerce, Laravel, Drupal, Magento und unzählige individuelle Geschäftssysteme. Die beiden Fehler stecken in PHP selbst, nicht in einer einzelnen Anwendung. Deshalb sind so viele Websites gleichzeitig betroffen.

• CVE-2026-109618, „RCE via OOM corruption“: Wenn PHP im falschen Moment der Speicher ausgeht, können Anfragedaten nur halb eingerichtet zurückbleiben, und der anschließende Aufräumschritt behandelt die fehlerhaften Daten dann möglicherweise als gültig.
• CVE-2026-109619, „RCE via stale global state“: Interne Daten einer Anfrage können erhalten bleiben, nachdem ihr Speicher bereits freigegeben wurde, und eine spätere Anfrage, die vom selben Worker verarbeitet wird, verwendet sie möglicherweise, bevor sie zurückgesetzt werden.

Laut PHP sind alle PHP-Installationen gefährdet, die Webanfragen verarbeiten, einschließlich PHP-FPM, Apache mit mod_php, php-cgi, FrankenPHP und LiteSpeed. Am höchsten ist das Risiko bei Apache mit mod_php: Nach Angaben des PHP-Teams wurde dort ein Exploit demonstriert, bei dem eine Anfrage ohne Authentifizierung den Angriff auslöst, bevor überhaupt Code Ihrer Anwendung ausgeführt wird. Eine gut programmierte Anwendung schützt Sie also nicht: Die Korrektur muss in PHP erfolgen.

Welche Versionen die Lücke schließen

Ihr PHP-Zweig	Aktualisieren auf mindestens	Hinweise
8.5	8.5.12	Für 8.5 gibt es eine zusätzliche temporäre Einstellung (siehe unten).
8.4	8.4.27
8.3	8.3.36
8.2	8.2.35	PHP 8.2 erreicht am 31. Dezember 2026 das Ende des Supports. Planen Sie ein Upgrade.
8.1, 8.0, 7.4 und älter	Kein offizielles Release	Nicht mehr unterstützt. Siehe alte PHP-Versionen.
8.6 Test-Builds	8.6.0 RC4	Nicht für den Produktivbetrieb.

Schritt 1: Prüfen Sie, welche PHP-Version Ihre Website wirklich nutzt

Auf vielen Servern ist mehr als eine PHP-Version installiert. Die Version auf der Kommandozeile ist nicht immer die, die Ihre Website ausliefert. Prüfen Sie daher die Version, die der Webserver verwendet.

• Hosting-Control-Panel: Suchen Sie in cPanel nach MultiPHP Manager oder Select PHP Version; Plesk zeigt die Version unter den PHP Settings der Domain.
• WordPress: Öffnen Sie Werkzeuge → Website-Zustand → Bericht → Server.
• Laravel oder jede andere PHP-Anwendung: Eine temporäre Seite mit <?php phpinfo(); zeigt die genaue Version und die verwendete Server-API (zum Beispiel FPM/FastCGI oder Apache 2.0 Handler, also mod_php). Löschen Sie die Seite sofort danach.
• Kommandozeile: php -v und für PHP-FPM php-fpm8.3 -v (mit Ihrer Versionsnummer).

Wichtig: Linux-Distributionen wie Ubuntu, Debian, Red Hat und deren LTS-Anbieter beheben Sicherheitslücken oft, ohne die Hauptversionsnummer zu ändern. Laut PHP haben die Distributionen die Patches vorab erhalten. Wenn Ihr PHP aus Ihrer Distribution stammt, suchen Sie in der Sicherheitsmeldung oder im Changelog des Pakets nach den beiden CVE-Nummern, statt Versionsnummern zu vergleichen.

Schritt 2: PHP Version aktualisieren

Shared Hosting oder Managed Hosting

Ihr Hosting-Anbieter verwaltet PHP. Viele patchen automatisch; lassen Sie sich von Ihrem Hoster bestätigen, dass Ihre PHP-Version die Korrekturen für CVE-2026-109618 und CVE-2026-109619 enthält. Wenn Sie PHP 8.1 oder älter nutzen, bitten Sie um den Wechsel auf eine unterstützte Version (8.3 oder 8.4 ist für die meisten Websites eine sichere Wahl) und testen Sie Ihre Website danach.

Ihr eigener Ubuntu- oder Debian-Server

1. Installieren Sie die Updates: sudo apt update && sudo apt upgrade. Wenn Sie ein PHP-Repository eines Drittanbieters nutzen, lädt derselbe Befehl auch dessen neue Pakete.
2. Starten Sie PHP neu, damit die alten Prozesse beendet werden: sudo systemctl restart php8.3-fpm (Ihre Version) oder sudo systemctl restart apache2, wenn Sie mod_php nutzen.
3. Prüfen Sie erneut (Schritt 1) und testen Sie die wichtigsten Seiten, Formulare, Logins und Zahlungen.

Red Hat, Rocky, AlmaLinux, CentOS Stream

Führen Sie sudo dnf upgrade aus (oder den Befehl für Ihr PHP-Modul bzw. Repository), starten Sie dann php-fpm oder httpd neu und testen Sie.

Docker und Container

Ein Update des Servers reicht nicht: Bauen Sie Ihre Images auf einem korrigierten PHP-Basis-Image neu (zum Beispiel ein neuer php:8.3-fpm- oder php:8.4-apache-Build mit 8.3.36 bzw. 8.4.27), pushen Sie sie, deployen Sie neu und stellen Sie sicher, dass keine alten Container mehr laufen.

Windows

Laden Sie den korrigierten Build von der PHP-Downloadseite herunter, ersetzen Sie die alten Dateien und starten Sie IIS bzw. Ihren Webserver neu.

Unabhängig vom Setup gilt: Starten Sie jeden PHP-Worker neu. Alte PHP-FPM- oder Apache-Prozesse führen den verwundbaren Code so lange weiter aus, bis sie neu gestartet werden.

Wenn Sie heute nicht aktualisieren können

PHP stellt klar: Nur ein Update ist eine vollständige Lösung. Die folgenden Einstellungen verringern einige Angriffswege, machen einen Server aber nicht sicher. Setzen Sie sie in der php.ini, im FPM-Pool oder in der Webserver-Konfiguration, nicht mit ini_set() oder .user.ini, und starten Sie jeden Worker neu.

• Für CVE-2026-109619: Setzen Sie session.upload_progress.enabled=0. Unter PHP 8.5 setzen Sie zusätzlich fatal_error_backtraces=0.
• Für CVE-2026-109618: Setzen Sie memory_limit=-1 so, dass Anwendungen den Wert nicht überschreiben können (zum Beispiel mit php_admin_value), und setzen Sie eine niedrige post_max_size: 8M, wenn Sie keine Uploads brauchen, 32M, wenn doch, mit upload_max_filesize darunter. Nutzen Sie Speicherlimits von Container oder cgroup als Sicherheitsgrenze, verwenden Sie aber nicht RLIMIT_AS oder RLIMIT_DATA.
• Entfernen Sie ungültige oder veraltete Einstellungen, die PHP zu Beginn jeder Anfrage Warnungen ausgeben lassen, und beheben Sie Fehler und Timeouts, die ein Angreifer auslösen könnte. Warnungen nur auszublenden hilft nicht.

Diese Einstellungen können die Funktion Ihrer Anwendung beeinflussen, vor allem Uploads. Testen Sie sie und betrachten Sie sie nur als kurze Überbrückung bis zum echten Update.

Nachtrag vom 23. Oktober: Session Upload Progress

Am 23. Oktober hat PHP einen informativen Hinweis zu einem verwandten, weniger wahrscheinlichen Problem veröffentlicht (CVE-2026-115560). Es betrifft nur Anwendungen, die session.serialize_handler zur Laufzeit mit ini_set() ändern, während Session Upload Progress aktiviert ist. PHP empfiehlt, session.upload_progress.enabled=0 bis zum nächsten regulären Bugfix-Release beizubehalten. Wenn Sie die Einstellung bereits am 21. Oktober gesetzt haben, lassen Sie sie bestehen.

Sie nutzen PHP 8.1, 8.0, 7.4 oder älter?

Diese Versionen erhalten keine Updates mehr vom PHP-Projekt, daher gibt es kein offizielles Release mit der Korrektur. Wegen des Schweregrads hat das PHP-Sicherheitsteam minimale Backports als Quellcode für 7.4, 8.0 und 8.1 veröffentlicht, für alle, die PHP selbst kompilieren, und einige Linux-Anbieter und LTS-Dienstleister bieten zurückportierte Pakete an. Für die meisten Unternehmen ist die richtige Antwort ein Upgrade auf PHP 8.3 oder 8.4. Das bedeutet meist, Framework, Plugins und einen Teil des Codes zu aktualisieren. Planen Sie es daher, statt es überstürzt auf einer Live-Website zu erledigen:

1. Kopieren Sie die Website auf einen Staging-Server.
2. Stellen Sie Staging auf die neue PHP-Version um und führen Sie Ihre Tests aus, oder klicken Sie sich durch die wichtigsten Seiten, wenn Sie keine Tests haben.
3. Beheben Sie veralteten Code und aktualisieren Sie Composer-Pakete und Plugins.
4. Stellen Sie die Produktivumgebung in einer ruhigen Stunde um, mit Backup und einem Weg zurück.

Kurze Checkliste

1. Erfassen Sie jeden Server, jede Website und jeden Container mit PHP, einschließlich Staging und alter, vergessener Websites.
2. Prüfen Sie die PHP-Version und wie PHP installiert ist (Hoster, Distributionspaket, Docker-Image, Quellcode).
3. Aktualisieren Sie auf 8.5.12, 8.4.27, 8.3.36, 8.2.35 oder das gepatchte Paket Ihres Anbieters.
4. Starten Sie alle PHP-Worker und Webserver neu.
5. Bestätigen Sie Version oder Patch und testen Sie dann Logins, Formulare, Uploads und Zahlungen.
6. Wenn Sie heute nicht aktualisieren können, setzen Sie die temporären Einstellungen und legen Sie einen Termin für den Abschluss fest.
7. Planen Sie den Umstieg weg von PHP 8.1 oder älter und weg von 8.2 vor dem 31. Dezember 2026.

Wie UnlockLive Ihnen helfen kann

Wir entwickeln und betreuen seit 2008 PHP-, Laravel- und WordPress-Systeme. Unser Notfall-Service für PHP-Sicherheitsupdates prüft jeden Ihrer Server, spielt die Korrektur passend zu Ihrem Setup ein (Hosting, VPS, cPanel oder Docker), startet alles neu, testet die Website und sendet Ihnen einen kurzen schriftlichen Bericht. Wenn Sie eine alte PHP-Version nutzen, führen wir das Upgrade sicher zuerst auf einer Staging-Kopie durch.

Sie sind nicht sicher, ob Sie betroffen sind? Senden Sie uns Ihre Website-Adresse oder buchen Sie ein kostenloses 30-minütiges Gespräch, und ein Engineer sagt Ihnen, was zu tun ist.