Zwei Sicherheitslücken in PHP, einer der am häufigsten eingesetzten Technologien für den Betrieb von Websites und Webanwendungen, haben das PHP-Entwicklungsteam dazu veranlasst, am 21. Oktober 2026 außerplanmäßige Sicherheitsupdates zu veröffentlichen. Die Schwachstellen können die Ausführung von Schadcode aus der Ferne ohne vorherige Authentifizierung ermöglichen und damit betroffene Systeme dem Risiko einer Kompromittierung aussetzen.
Die beiden Sicherheitslücken mit den Kennungen CVE-2026-109618 und CVE-2026-109619 wurden jeweils mit 9,2 von 10 Punkten nach CVSS 4.0 bewertet und damit als kritisch eingestuft. Die offiziellen Sicherheitshinweise beschreiben mögliche Angriffsszenarien im Zusammenhang mit der Speicherverwaltung und der Verarbeitung von Webanfragen.
Das PHP Security Team hat bestätigt, dass ein Update die einzige umfassende Schutzmaßnahme darstellt. Vorübergehende Maßnahmen können bestimmte Angriffswege einschränken, beseitigen jedoch nicht sämtliche Bedingungen, unter denen ein System angreifbar bleibt.
Für Unternehmen reicht die Bedeutung dieser Meldung weit über die Wartung einer Programmiersprache hinaus. PHP kann sowohl in intern betriebenen digitalen Diensten als auch in Anwendungen externer Dienstleister zum Einsatz kommen. Um das eigene Risiko zeitnah einschätzen zu können, ist es deshalb entscheidend zu wissen, welche Anwendungen PHP verwenden und wer für deren Aktualisierung verantwortlich ist.
Inhalt
Welche PHP-Server besonders gefährdet sind
Die Sicherheitslücken betreffen interne Funktionen von PHP und können sich bei unterschiedlichen Betriebsarten auswirken. Dazu zählen Konfigurationen mit Apache und mod_php, PHP-FPM, FrankenPHP und LiteSpeed, wie auch die Analyse von CERT-AGID erläutert .
Ob und unter welchen Bedingungen eine Schwachstelle ausgenutzt werden kann, hängt jedoch von der jeweiligen Systemumgebung ab.
Für Apache mit mod_php wurde nachgewiesen, dass sich durch nicht authentifizierte HTTP-Anfragen unter bestimmten Bedingungen Schadcode aus der Ferne ausführen lässt. Diese Bedingungen können bereits vor der Ausführung des eigentlichen Anwendungscodes auftreten. Für PHP-FPM wurden Angriffsszenarien dokumentiert, die an bestimmte Voraussetzungen innerhalb der Anwendung gebunden sind. Bei anderen Betriebsarten hängt die tatsächliche Gefährdung von weiteren Eigenschaften der jeweiligen Konfiguration ab.
Diese Unterscheidung ist wichtig, da die kritische Bewertung der Sicherheitslücken nicht bedeutet, dass jede PHP-Installation demselben operativen Risiko ausgesetzt ist.
Für öffentlich über das Internet erreichbare Systeme bleibt die Dringlichkeit dennoch hoch. Das gilt insbesondere für Unternehmensanwendungen, Kundenportale und geschäftskritische Dienste.
Zwei Schwachstellen in der Speicherverwaltung
Die erste Sicherheitslücke, CVE-2026-109618, betrifft den Umgang mit Situationen, in denen der verfügbare Arbeitsspeicher erschöpft ist. Solche Zustände werden als Out of Memory bezeichnet. Unter bestimmten Umständen kann PHP die Verarbeitung einer Anfrage abbrechen, während interne Datenstrukturen noch nicht vollständig initialisiert wurden. Nachfolgende Bereinigungsvorgänge können dadurch auf Informationen in einem ungültigen Zustand zugreifen.
Die offiziellen Sicherheitshinweise erläutern, wie speziell gestaltete Webanfragen solche Situationen auslösen und in anfälligen Konfigurationen die Ausführung von Schadcode aus der Ferne ermöglichen können.
Die zweite Sicherheitslücke, CVE-2026-109619, betrifft interne Informationen, die über das Ende der ursprünglichen Anfrage hinaus erhalten bleiben. Bestimmte Referenzen können weiterhin zugänglich sein, obwohl der zugehörige Speicher bereits freigegeben wurde. Verarbeitet derselbe PHP-Prozess anschließend eine weitere Anfrage, kann der Zugriff auf diese Referenzen zu einer sogenannten Use-after-free-Schwachstelle führen.
Zu den dokumentierten Folgen gehört der Zugriff auf bereits freigegebene Speicherbereiche. Unter bestimmten Voraussetzungen kann daraus ebenfalls die Möglichkeit entstehen, Schadcode aus der Ferne auszuführen.
Ein erfolgreicher Angriff würde mit den Berechtigungen des betroffenen Webprozesses ausgeführt. Die tatsächlichen Auswirkungen hängen deshalb auch davon ab, welche Zugriffsrechte dem Dienst zugewiesen wurden und auf welche Dateien, Daten und weiteren Ressourcen der Infrastruktur er zugreifen kann.
Korrigierte PHP-Versionen und das Problem veralteter Systeme
Die offiziellen Sicherheitskorrekturen wurden mit den PHP-Versionen 8.2.35, 8.3.36, 8.4.27 und 8.5.12 bereitgestellt. Ältere Installationen innerhalb dieser Versionszweige müssen aktualisiert oder durch Pakete abgesichert werden, die entsprechende Sicherheitskorrekturen des jeweiligen Anbieters enthalten.
Besondere Aufmerksamkeit erfordern ältere PHP-Versionen, die laut der offiziellen Übersicht der unterstützten PHP-Versionen vom PHP-Projekt keine regulären Sicherheitsupdates mehr erhalten. Ob für diese Systeme weiterhin Korrekturen verfügbar sind, hängt von den jeweiligen Betriebssystemanbietern oder speziellen Wartungsdiensten ab.
Eine niedrigere Versionsnummer bedeutet dabei nicht zwangsläufig, dass ein von einem Linux-Anbieter bereitgestelltes Paket ungepatcht ist. Manche Anbieter integrieren Sicherheitskorrekturen in die von ihnen gepflegten älteren Versionen. Entscheidend sind deshalb die Sicherheitshinweise des Anbieters und die tatsächlich installierte Paketversion.
Die aktuelle Situation verdeutlicht außerdem die Bedeutung einer vorausschauenden Technologieplanung. PHP 8.2 erreicht am 31. Dezember 2026 das Ende des offiziellen Sicherheits-Supports. Unternehmen, die diesen Versionszweig einsetzen, sollten deshalb neben der unmittelbaren Behebung der Sicherheitslücken auch den Wechsel auf eine längerfristig unterstützte Version prüfen.
| PHP-Version | Mindestversion mit Sicherheitskorrektur | Status | Sicherheits-Support bis |
| PHP 8.5 | 8.5.12 | 🟢 Abgesichert – neueste Generation | 31. Dezember 2029 |
| PHP 8.4 | 8.4.27 | 🟢 Abgesichert – empfohlen | 31. Dezember 2028 |
| PHP 8.3 | 8.3.36 | 🟢 Abgesichert | 31. Dezember 2027 |
| PHP 8.2 | 8.2.35 | 🟡 Abgesichert, Support-Ende steht bevor | 31. Dezember 2026 |
| PHP 8.1 und älter | — | 🔴 Nicht mehr unterstützt | Abgelaufen |
Schnell aktualisieren und die Betriebskontinuität sicherstellen
Auch bei dringendem Handlungsbedarf muss die Kompatibilität der betroffenen Anwendungen berücksichtigt werden.
Ein PHP-Update kann Auswirkungen auf Erweiterungen, Bibliotheken, Frameworks und weitere Komponenten einer Website oder Unternehmensanwendung haben. Besonders bei einem Wechsel auf einen neueren Hauptversionszweig ist eine sorgfältige Kompatibilitätsprüfung erforderlich.
Bei geschäftskritischen Systemen empfiehlt es sich deshalb, die Aktualisierung mit den Verantwortlichen für die Infrastruktur abzustimmen, die notwendigen Prüfungen vorzubereiten und die Funktionsfähigkeit der Anwendungen nach dem Update zu kontrollieren. Aktuelle Backups und ein überprüftes Wiederherstellungsverfahren tragen dazu bei, die operativen Risiken des Eingriffs zu reduzieren.
Auch der Neustart der PHP-Prozesse gehört zur technischen Überprüfung. Nur so lässt sich sicherstellen, dass die laufenden Dienste tatsächlich die aktualisierten Komponenten verwenden.
Die Bestätigung einer installierten Sicherheitskorrektur sollte daher immer mit einer Überprüfung des produktiven Dienstes verbunden sein. Das gilt insbesondere dann, wenn eine Anwendung auf mehrere Server, Umgebungen oder Prozesse verteilt ist.
Wenn die Sicherheit von externen Dienstleistern abhängt
Bei der Behebung von PHP-Sicherheitslücken sind häufig mehrere Beteiligte eingebunden. Das gilt besonders für Websites und Unternehmensanwendungen, die auf externen Infrastrukturen betrieben werden. Hosting-Anbieter, Entwickler und IT-Verantwortliche betreuen oftmals unterschiedliche Komponenten desselben Dienstes. Eine koordinierte Vorgehensweise ist deshalb entscheidend.
Bei kritischen Sicherheitslücken umfasst die Überprüfung unter anderem die eingesetzten PHP-Versionen, die vom Hosting-Anbieter installierten Sicherheitsupdates und die Kompatibilität der Anwendungen mit den korrigierten Versionen.
Falls erforderlich, müssen Aktualisierungen und weitere Sicherheitsmaßnahmen gemeinsam mit den Infrastrukturpartnern geplant werden. Dabei sind die technischen Besonderheiten der jeweiligen Umgebung ebenso zu berücksichtigen wie die Anforderungen an die Betriebskontinuität.
Eine wirksame Vorgehensweise setzt somit einen umfassenden Überblick über die Infrastruktur, klar definierte Zuständigkeiten und anschließende Kontrollen voraus. Erst dadurch lässt sich überprüfen, ob die Sicherheitskorrekturen tatsächlich auf allen betroffenen Diensten wirksam sind.
Eine kritische Sicherheitslücke bedeutet nicht automatisch einen erfolgten Angriff
Bei der Bewertung der aktuellen Schwachstellen ist die Unterscheidung zwischen einer Sicherheitslücke und einem tatsächlichen Sicherheitsvorfall besonders wichtig.
Eine anfällige PHP-Version zeigt zunächst, dass ein System bestimmten Angriffsmöglichkeiten ausgesetzt sein kann. Daraus lässt sich jedoch nicht ableiten, dass diese bereits ausgenutzt wurden.
Der Umgang mit einer Sicherheitslücke erfordert eine Aktualisierung, die Überprüfung der betroffenen Systeme und eine Bewertung ihrer Gefährdung. Treten hingegen Hinweise auf eine mögliche erfolgreiche Kompromittierung auf, muss der Sachverhalt im Rahmen der vorgesehenen Verfahren zur Behandlung von Sicherheitsvorfällen genauer untersucht werden.
Server- und Anwendungsprotokolle können dabei wertvolle Informationen liefern, haben jedoch ihre Grenzen. Die offiziellen PHP-Sicherheitshinweise weisen darauf hin, dass bestimmte Bedingungen auftreten können, ohne unmittelbar erkennbare Protokolleinträge zu hinterlassen. Das Fehlen auffälliger Logeinträge ist daher kein eindeutiger Nachweis dafür, dass keine Ausnutzung stattgefunden hat.
Eine zuverlässige Bewertung berücksichtigt die verfügbaren technischen Hinweise, die Systemkonfiguration und mögliche Indikatoren für eine Kompromittierung.
Wie schnell ein Unternehmen reagieren kann, hängt von der Kenntnis seiner Infrastruktur ab
Die aktuellen PHP-Sicherheitslücken zeigen, wie wichtig ein aktueller Überblick über die im Unternehmen eingesetzten Technologien ist.
Wird eine kritische Sicherheitswarnung veröffentlicht, besteht die erste Herausforderung häufig darin, die betroffenen Dienste überhaupt zu identifizieren. Eine vor Jahren entwickelte Anwendung, ein extern betreutes Kundenportal oder ein unzureichend dokumentiertes internes System können zusätzliche Prüfungen erfordern und die Reaktionszeit verlängern.
Ein wirksames Schwachstellenmanagement setzt deshalb eine aktuelle Bestandsaufnahme der IT-Systeme, Kenntnisse über technologische Abhängigkeiten und eine Bewertung der Bedeutung einzelner Dienste für das Unternehmen voraus.
Ein öffentlich erreichbarer Server, der sensible Daten verarbeitet oder einen wesentlichen Geschäftsprozess unterstützt, erfordert eine andere Priorisierung als eine isolierte Testumgebung. Der CVSS-Wert hilft bei der Einschätzung des technischen Schweregrads. Der betriebliche Kontext ist hingegen entscheidend, um die Reihenfolge und Dringlichkeit konkreter Maßnahmen festzulegen.
IT-Sicherheit erfordert Aufmerksamkeit und Kontinuität
Die am 21. Oktober 2026 veröffentlichten PHP-Sicherheitslücken verdeutlichen, wie eng die Sicherheit digitaler Dienste mit der Kenntnis der eingesetzten Technologien und deren kontinuierlicher Wartung verbunden ist.
Webinfrastrukturen, Anwendungen und digitale Unternehmensplattformen sind heute fester Bestandteil betrieblicher Abläufe. Ihre Zuverlässigkeit setzt regelmäßige Updates, die Beobachtung neuer Bedrohungen und einen bewussten Umgang mit technologischen Komponenten voraus.
Auch bei EOC haben wir uns bereits intensiv mit den gemeldeten Sicherheitslücken auseinandergesetzt, ihre möglichen Auswirkungen analysiert und notwendige Maßnahmen für die von uns betreuten Systeme und digitalen Dienste geprüft. Diese Arbeit ist Teil unseres kontinuierlichen Engagements, technologische Entwicklungen aufmerksam zu verfolgen und geeignete Maßnahmen zu ergreifen, um die Zuverlässigkeit und Kontinuität der Projekte unserer Kunden sicherzustellen.
In einer zunehmend komplexen digitalen Umgebung bilden sichere und regelmäßig aktualisierte IT-Systeme eine wesentliche Grundlage für den zuverlässigen Betrieb und die langfristige Verfügbarkeit betrieblicher Dienste.
Quellen:
