Am 21. Oktober 2026 hat die PHP-Entwicklung Notfall-Sicherheitsupdates für zwei kritische Schwachstellen im PHP-Interpreter selbst veröffentlicht: CVE-2026-109618 und CVE-2026-109619. Die Lücken stecken nicht in einem einzelnen Plugin oder Content-Management-System, sondern im Kern der Sprache, auf der ein großer Teil des Webs läuft. Gepatcht sind PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35. Für PHP 8.1 und ältere, bereits nicht mehr unterstützte Versionen gibt es keinen offiziellen Fix mehr, nur begrenzte Quellcode-Backports für 7.4, 8.0 und 8.1.
Für Unternehmen bedeutet das: Wer PHP einsetzt, und das betrifft praktisch jedes Unternehmen mit eigener Website, Shop oder Webanwendung, muss jetzt prüfen, ob die eigene Infrastruktur den Patch bereits eingespielt hat, und zwar auf der Ebene, die Webanfragen tatsächlich verarbeitet: PHP-FPM, mod_php, php-cgi oder vergleichbare Laufzeiten, nicht nur die Anwendung selbst. Nach der Installation muss der jeweilige Dienst, etwa PHP-FPM oder Apache, neu gestartet werden, sonst bleibt der Patch ohne Wirkung.
Beide Schwachstellen erlauben Remote Code Execution ohne Authentifizierung und sind mit einem CVSS-Wert von 9,2 bewertet. (CERT-EU Advisory 2026-018, zitiert nach SecurityWeek)
Der Wettlauf hat mit dem Patch begonnen
Die technischen Details waren bereits vor der geplanten koordinierten Veröffentlichung durchgesickert. Das Sicherheitsunternehmen Sansec rechnete deshalb damit, dass eine breite Ausnutzung innerhalb weniger Minuten nach Veröffentlichung des Patches beginnen würde, weil Angreifer den Patch nur mit der vorherigen Version vergleichen müssen, um die Schwachstelle zu rekonstruieren (Patch-Diffing). Erste verdächtige Anfragen registrierte der Sicherheitsdienstleister Patchstack bereits ab 07:34 UTC bei mehreren Hosting-Partnern, also noch vor der offiziellen Patch-Veröffentlichung. Inzwischen berichten sowohl Patchstack als auch Cloudflare von Ausnutzungsversuchen, unter anderem über manipulierte multipart/form-data-Anfragen. Einen verlässlich funktionierenden öffentlichen Exploit-Code konnte das Sicherheitsunternehmen Tenable zum Zeitpunkt der Recherche noch nicht bestätigen, mehrere kursierende Varianten gelten als unzuverlässig.
Das britische National Cyber Security Centre bestätigte inzwischen, dass die Schwachstelle behoben ist, und rät allen Organisationen, zügig auf die gepatchte Version zu aktualisieren, auch bei eingebetteten Produkten und Drittanbieterdiensten, die PHP enthalten. Wegen des weltweiten Andrangs auf die offiziellen PHP-Downloadserver empfiehlt es sich, die Updates zunächst über die Paketquellen der eigenen Linux-Distribution zu beziehen, statt auf die direkten php.net-Downloads zu warten.
Wer nicht sofort patchen kann, muss isolieren
Die vielfach kursierende Empfehlung, die Einstellung session.upload_progress zu deaktivieren, um Zeit zu gewinnen, schützt nach Angaben des PHP-Teams nicht zuverlässig, Umgehungen werden bereits erwartet. Für Systeme, die sich nicht sofort patchen lassen, empfehlen sowohl CERT-EU als auch das britische NCSC, die betroffene Anwendung zu isolieren oder vom Netz zu nehmen, etwa hinter ein VPN oder eine Zugriffs-Allowlist. Einzelne Anbieter hatten das bereits im Vorfeld getan: Der Rechnungsdienst easybill nahm seine Plattform vorsorglich vom Netz, auch der Wiki-Hoster wiki.gg und der Spieleverlag Choice of Games gingen zeitweise offline.
Wie groß die Angriffsfläche ist, zeigt ein Nebenbefund aus den Daten von WordPress.org, zitiert von Dr. Web: 36,4 Prozent aller WordPress-Installationen liefen zum Zeitpunkt der Veröffentlichung noch mit PHP 8.1 oder älter, also mit Versionen, die keinen offiziellen Fix mehr bekommen. Das Sicherheitsunternehmen Mallory beziffert laut Check Point die Zahl öffentlich erreichbarer Server, deren Shodan-Banner PHP 8.1 oder älter melden, auf rund 884.000 weltweit, hinzu kommen etwa 740.000 Server ohne erkennbare Versionsangabe.
Was das für Ihr Unternehmen bedeutet
Für Unternehmen mit eigener Webinfrastruktur sind jetzt zwei Fragen zu klären: Ist der Patch auf allen betroffenen Systemen eingespielt, bis hinunter zur Laufzeit, die Webanfragen verarbeitet, und gibt es Hinweise auf eine Kompromittierung in den Stunden zwischen dem Durchsickern der Details und der Veröffentlichung des Patches, in denen bereits erste Ausnutzungsversuche beobachtet wurden. Beides lässt sich nur mit einer gezielten technischen Prüfung beantworten, nicht mit einer allgemeinen Einschätzung.
DigiFors unterstützt Unternehmen in genau dieser Situation auf zwei Ebenen. Im Rahmen eines Penetrationstests prüfen wir, ob exponierte PHP-Anwendungen tatsächlich verwundbar sind und ob der eingespielte Patch auf allen Ebenen wirksam greift. Besteht der Verdacht, dass ein System bereits vor der Behebung angegriffen wurde, liefert eine forensische Analyse im Rahmen unseres Notfallservice-Vertrags innerhalb kurzer Zeit belastbare Antworten: ob die Lücke ausgenutzt wurde, welche Daten betroffen waren und welche Schritte jetzt notwendig sind.
Stand bei Veröffentlichung dieses Beitrags: 21. Oktober 2026, circa 17:15 Uhr (MESZ). Die Sicherheitsupdates sind seit dem frühen Nachmittag verfügbar, erste Ausnutzungsversuche wurden bereits ab dem Vormittag beobachtet, ein breiter Massenmissbrauch ist bislang nicht bestätigt, und die Lücke steht noch nicht im CISA-KEV-Katalog. Die Lage kann sich seitdem weiterentwickelt haben, aktuelle Einordnungen finden Sie in den oben verlinkten Quellen.
