Das PHP-Team hat zwei kritische Sicherheitslücken geschlossen. Über sie können Angreifer ohne Anmeldung Schadcode auf Servern ausführen. Betroffen sind alle Webseiten, die auf PHP laufen. Dazu gehören WordPress-Seiten, Foren und viele Community-Portale.
Diese Versionen schließen die PHP-Sicherheitslücke
Am 21. Oktober sind PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35 erschienen. Beide Lücken haben einen CVSS-Wert von 9,2 und gelten damit als kritisch. Für PHP 8.1 und ältere Versionen gibt es offiziell keine Updates mehr. Für 7.4, 8.0 und 8.1 existieren nur minimale Backports. PHP 8.2 erreicht am 31. Dezember 2026 das Ende des Supports.
Was hinter den Lücken steckt
CVE-2026-109618: Bei einem Speicherfehler (Out of Memory) kann PHP halb initialisierte Daten später als gültig behandeln.
CVE-2026-109619: Interne Daten eines Requests bleiben auch nach der Freigabe des Speichers erhalten. Ein späterer Request kann sie dann ausnutzen.
Am größten ist das Risiko bei mod_php. Betroffen sind aber auch PHP-FPM, php-cgi, FrankenPHP und LiteSpeed.
Was Betreiber jetzt tun sollten
Nur ein Update schützt vollständig. Linux-Distributionen haben die Patches vorab erhalten. Wer nicht sofort updaten kann, findet in den Advisories Übergangslösungen. Sicherheitsforscher rechnen damit, dass es bald massenhafte Angriffe gibt.
Was ist PHP?
PHP ist eine Programmiersprache, die auf Webservern läuft. Sie erzeugt Webseiten erst beim Aufruf und lädt dafür Inhalte aus einer Datenbank. Auf PHP basieren unter anderem WordPress, Shopware, Drupal und viele Foren. Deshalb betrifft die PHP-Sicherheitslücke einen großen Teil des Internets.
