In PHP selbst wurden zwei kritische Sicherheitslücken entdeckt, die die Ausführung von Remote-Code ermöglichen . Alle Versionen gelten als betroffen.
DieSicherheitslücken CVE-2026-109618 und CVE-2026-109619 weisen beide einen CVSS v4.0-Wert von 9,2 auf. Das PHP-Sicherheitsteam wird am 21. Oktober 2026 um 16:00 Uhr MESZ / 10:00 Uhr EDT / 07:00 Uhr PT Korrekturen veröffentlichen.
Wenn Sie PHP irgendwo in Ihrer Infrastruktur einsetzen, halten Sie sich bitte über Workarounds und Patches auf dem Laufenden. Seien Sie bereit, Maßnahmen zu ergreifen.
Wir arbeiten mit der PHP Foundation und der Sicherheits-Community zusammen, um die Veröffentlichung von Patches und weiteren Informationen zu koordinieren. Wir arbeiten daran, „Aikido “-Images zu veröffentlichen, die die Sicherheitslücken beheben, ohne dass umfangreiche Updates erforderlich sind.
Was geschah
Das PHP-Sicherheitsteam veröffentlichte am 20. Oktober eine Vorabmitteilung, nachdem Informationen über die Sicherheitslücken bereits vor dem geplanten Veröffentlichungstermin durchgesickert waren. Unabhängige Forscher bestätigten, dass die Sicherheitslücken tatsächlich existierten, woraufhin das PHP-Team die Veröffentlichung auf den 21. Oktober vorverlegte. Die Sicherheitslücken sind weiterhin im Umlauf.
Open-Source-Quellen haben das ausnutzbare Verhalten außerhalb der Sperrfrist identifiziert, und es ist wahrscheinlicher, dass Angreifer versuchen, diese Schwachstelle auszunutzen, bevor Patches verfügbar sind.
So funktionieren die Sicherheitslücken
Wir halten Einzelheiten zur Ausnutzung der Schwachstellen vorerst zurück, solange die Systeme noch gepatcht werden. Weitere Informationen werden morgen zusammen mit den Patches veröffentlicht – oder bereits früher, sollten Details zu einer der beiden Schwachstellen an die Öffentlichkeit gelangen oder Hinweise auf eine aktive Ausnutzung auftreten. Weitere Informationen finden Sie auf der PHP-Website.
