PHP-Sicherheitslücken CVE-2026-109618 und CVE-2026-109619: Was Sie tun müssen
Die seit Mittwoch bekannten PHP-Sicherheitslücken CVE-2026-109618 und CVE-2026-109619 (beide CVSS 9.2, kritisch) erlauben es Angreifern, aus der Ferne Code auszuführen. Sie sind für alle PHP-Versionen der letzten 20 Jahre relevant. Die Hürde für den Angriff liegt relativ niedrig: Mit nur zehntausend HTTP-Anfragen in 38 Sekunden war es möglich, Code auf dem angegriffenen Server auszuführen. Eine Anmeldung war nicht erforderlich.
Aktualisieren Sie Ihre PHP-Versionen
Betroffene Dienste haben vorübergehend ihre Webseiten vom Netz genommen und auf die Patches gewartet. Eine andere Möglichkeit, um umfänglich sicher vor den Angriffen zu sein, gibt es nicht. Es ist dringend erforderlich, die Updates auf Servern, NAS und anderen vernetzten Geräten zu installieren, die eine webbasierte PHP-Oberfläche haben. Bastler sollten prüfen, ob ihre Mini-Server oder Raspi-Geräte PHP nutzen.
Aktualisierungsprozess
Aktualisierte Pakete liefern alle großen Distributionen aus, darunter Debian, Ubuntu, Fedora, Red Hat, SUSE, Gentoo und Slackware. Auf eigenen apt-basierten Linux-Servern oder Raspi-Geräten sollten Admins die Kommandozeile aufrufen und die Befehle zum Update anstoßen. Anschließend müssen sämtliche PHP-Dienste neu gestartet werden. Die PHP-Versionen 8.5.12, 8.4.27, 8.3.36 und 8.2.35 für Anwendungen auf Windows, macOS sowie Linux-Distributionen stehen ebenfalls direkt bei php.net zum Download bereit.
Docker-Containern und NAS-Geräten
Anwendungen in Docker-Containern mit veralteten PHP-Versionen brauchen aktualisierte Images, etwa per docker compose pull && docker compose up -d. Wer ein NAS-Gerät von Anbietern wie QNAP oder Synology betreibt, kann über die Softwareverwaltung nach Updates suchen.
Aktualisierung vom PHP-Projekt
Das PHP-Projekt veröffentlichte am 21. Oktober um 16:00 Uhr mitteleuropäischer Sommerzeit (14:00 Uhr UTC) eine Aktualisierung, um die beiden Sicherheitslücken zu fixen. Derzeit sind viele Exploit-Versuche zu beobachten, laut Reuters spricht Cloudflare von Millionen Angriffsversuchen.
Sicherheitslücken ausführlicher Bericht
Wir haben bereits ausführlich in „Kritische Sicherheitslücken erlauben Codeeinschleusung in PHP“ berichtet.
Rabattangebote
1 Jahr mit 50 % Rabatt: [Hier ein Link](#)
1 Jahr heise+ mit 50 % Rabatt: [Hier ein Link](#)
20 % Rabatt auf das Jahresabo: [Hier ein Link](#)
Entdecken Sie alle Inhalte auf heise online und unsere Magazin-Inhalte.