Das PHP-Sicherheitsteam hat wegen zweier kritischer Schwachstellen die Veröffentlichung wichtiger Sicherheitsupdates vorgezogen.
Die beiden Sicherheitslücken werden mit jeweils 9,2 von 10 Punkten nach CVSS v4.0 bewertet. Ursprünglich waren die Updates für Donnerstag vorgesehen, inzwischen nennt das PHP-Team Mittwoch, den 21. Oktober 2026, um 14 Uhr UTC. Das entspricht 16 Uhr deutscher Zeit.
Kritische PHP-Sicherheitslücken: Was bisher bekannt ist
PHP kommt auf zahlreichen Websites und Servern zum Einsatz. Auch verbreitete Anwendungen wie WordPress und Nextcloud basieren darauf. Sicherheitslücken in der Programmiersprache können deshalb weitreichende Auswirkungen haben.
In Sicherheitskreisen werden die Kennungen CVE-2026-109618 und CVE-2026-109619 mit den angekündigten Schwachstellen in Verbindung gebracht. Berichten zufolge könnte unter bestimmten Voraussetzungen die Ausführung von Schadcode auf betroffenen Servern möglich sein. Eine offizielle Bestätigung der technischen Einzelheiten steht allerdings noch aus.
Das PHP-Team hat angekündigt, die betroffenen Versionen und die konkreten Korrekturen zusammen mit den Updates zu veröffentlichen. Eine frühere Freigabe behält es sich vor, falls Details öffentlich werden oder aktive Angriffe bekannt werden.
Was Websitebetreiber jetzt tun können:
- Die eingesetzte PHP-Version und verfügbare Sicherheitsupdates prüfen.
- Beim Hostinganbieter nach einer zeitnahen Aktualisierung fragen.
- Nach Veröffentlichung der Patches die Installation beziehungsweise den Server aktualisieren lassen.
- Bis dahin mögliche Schutzmaßnahmen auf Serverebene prüfen.
Als vorläufige Maßnahme wird unter anderem empfohlen, die PHP-Einstellung session.upload_progress.enabled zu deaktivieren. Ob dies die angekündigten Schwachstellen tatsächlich entschärft, ist bislang nicht offiziell bestätigt. Ein Sicherheitsupdate ersetzt die Maßnahme ohnehin nicht.
Gerade beim Shared Hosting liegt die eigentliche PHP-Aktualisierung häufig beim Anbieter. Websitebetreiber können deshalb nicht immer selbst reagieren. Umso wichtiger ist jetzt eine schnelle und transparente Information durch die Hoster.
mobiFlip bei Google bevorzugen – unsere Beiträge öfter sehen Quelle wählen ↗
