PHP Problem 21.10.26

 

Diese Nachricht kam heute von Netcup, meinem Testoberflächenhoster, als Email:

"Vorabinformation: Kritische Sicherheitslücken in PHP (CVE-2026-109618, CVE-2026-109619)

Sehr geehrte Kundin, sehr geehrter Kunde,

wir möchten Sie vorab über zwei kritische Sicherheitslücken in PHP informieren, die in der PHP-Security-Community unter CVE-2026-109618 und CVE-2026-109619 geführt werden. Nach aktuellem Kenntnisstand ermöglichen beide das Ausführen von Schadcode auf betroffenen Systemen (Remote Code Execution) und wurden vom PHP Security Team mit dem Schweregrad “kritisch” (CVSS v4.0: 9.2) eingestuft.

Aktueller Stand

Das offizielle Sicherheitsupdate wird heute, am 21. Oktober 2026, um 14:00 UTC (16:00 Uhr MESZ) veröffentlicht. Das PHP-Projekt behält sich vor, das Update früher zu veröffentlichen, falls Details zu den Schwachstellen vorab öffentlich werden oder eine aktive Ausnutzung beobachtet wird. Bestätigte Details zu den betroffenen Versionen und zur Ursache liegen erst mit der Veröffentlichung vor. Offizielle Patches werden voraussichtlich nur für aktuell unterstützte PHP-Versionen (8.2 und neuer) erscheinen. Für ältere Versionen ist kein offizieller Fix zu erwarten.

Die offizielle Vorankündigung des PHP-Projekts finden Sie hier: https://www.php.net/archive/2026.php#2026-10-20-1

Wer ist betroffen?

Potenziell alle Systeme, auf denen PHP läuft, unabhängig davon, welches Produkt Sie bei uns nutzen (Webhosting, Managed Server, Managed Cloud Cluster, Root Server, VPS). Die Behebung ist ausschließlich auf Ebene der PHP-Installation möglich, nicht innerhalb der Anwendung.

Was wir tun (Webhosting, Managed Server)

Auf Basis der aktuell verfügbaren Informationen bereiten wir Konfigurations- und Härtungsmaßnahmen vor und prüfen diese nach Veröffentlichung des Patches gegen die offiziellen Details. Sobald der offizielle Patch vorliegt, rollen wir ihn automatisch auf allen betroffenen Systemen aus. Für ältere PHP-Versionen, für die kein offizieller Patch mehr erscheint, werden wir einen Patch entwickeln und anwenden. Ein Eingreifen Ihrerseits ist nicht erforderlich.

Was Sie tun sollten (Root Server, VPS, Managed Cloud Cluster)

Bei Root Servern, VPS und den VMs auf Managed Cloud Clustern liegt die Behebung in Ihrer Verantwortung. Wir empfehlen dringend:

Prüfen Sie jetzt, welche PHP-Versionen auf Ihren Systemen im Einsatz sind.
Planen Sie, das offizielle Update unmittelbar nach Veröffentlichung einzuspielen. Mit Angriffsversuchen ist kurz nach Bekanntwerden des Patches zu rechnen.
Falls Sie eine PHP-Version einsetzen, für die kein offizieller Patch erscheint: Wann ein Patch für ältere PHP-Versionen auf inoffiziellem Weg (etwa über Distributions-Backports) verfügbar wird, ist derzeit nicht absehbar. Prüfen Sie daher die Kompatibilität Ihrer Anwendung mit einer unterstützten PHP-Version und bereiten Sie das Upgrade vor."

 

Mehr Infos:

https://www.bsi.bund.de/SharedDocs/Cybersicherheitswarnungen/DE/2026/2026-297981-1032.pdf?__blob=publicationFile&v=3