Auf einen Blick
- Das PHP-Projekt stellt am 21. Oktober außerplanmäßige Updates gegen zwei kritische Lücken bereit (CVE-2026-109618 und CVE-2026-109619).
- Über die Lücken lässt sich aus der Ferne fremder Code auf dem Server ausführen. Die Aktualisierung gehört zügig eingespielt, sobald sie vorliegt.
- Für Websites in unserem Rechenzentrum (Mittwald) ist das bereits in Arbeit.
Das PHP-Projekt stellt am 21. Oktober 2026 außerplanmäßige Updates bereit, geplant für 16:00 Uhr (MESZ). Sie schließen zwei schwerwiegende Sicherheitslücken, über die sich aus der Ferne eigener Programmcode auf dem Server ausführen lässt. Die beiden Lücken tragen die Kennungen CVE-2026-109618 und CVE-2026-109619 und sind mit 9,2 von 10 Punkten bewertet.
PHP ist die Sprache, in der die meisten Websites laufen: WordPress, Onlineshops und viele Branchenlösungen. Wer eine solche Lücke ausnutzt, kann im ungünstigsten Fall eigene Befehle auf dem Server ausführen, auf dem die Seite liegt. Deshalb raten das PHP-Projekt und mehrere Sicherheitsstellen dazu, die Aktualisierung zügig einzuspielen, sobald sie vorliegt.
Eine Besonderheit kommt diesmal hinzu: Einzelheiten zu den Lücken sind schon vor dem geplanten Termin durchgesickert, und Fachleute konnten eine davon nachstellen. Je früher die Aktualisierung liegt, desto kleiner das Zeitfenster, in dem eine noch nicht aktualisierte Seite angreifbar ist.
Die Korrekturen sind für die noch gepflegten PHP-8-Zweige angekündigt. Ältere PHP-Versionen, die ohnehin keine Sicherheitsupdates mehr erhalten, bleiben offen. Das ist ein weiterer Grund, die Seite auf einer aktuell unterstützten PHP-Version zu betreiben.
Was jetzt zu tun ist
Sobald die aktualisierte PHP-Version vorliegt, sollte sie zügig eingespielt werden. Wenn ein Hoster Ihre Website betreibt, stellt er sie bereit, und sie wird für Ihre Seite übernommen. Wer einen eigenen Server verwaltet, spielt die Updates seiner Distribution ein, sobald sie verfügbar sind. Wenn Sie nicht sicher sind, welche PHP-Version hinter Ihrer Seite läuft, lässt sich das in wenigen Minuten feststellen.
Für die Seiten in unserem Rechenzentrum
Für Websites, die wir in unserem Rechenzentrum (bei Mittwald) betreiben, ist das bereits in der Mache. Mittwald hat uns über die Lücken informiert und will die aktualisierten PHP-Versionen schnellstmöglich bereit stellen.
Wenn Sie nicht sicher sind, ob Ihre Seite betroffen ist oder schon aktualisiert wurde, melden Sie sich bei uns. Wir sehen nach.
Ausführlich berichtet unter anderem heise online über die beiden Schwachstellen und die Updates.