PHP-Sicherheitslücken: Kritische RCE-Schwachstellen erfordern dringendes Update

Kritische PHP‑Sicherheitslücken – sofortiges Update erforderlich (Stand 21.10.2026)

Am 21. Oktober 2026 hat das PHP‑Sicherheitsteam die Sicherheitsreleases PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35 veröffentlicht. Die beiden Schwachstellen CVE‑2026‑109618 und CVE‑2026‑109619 sind damit bereits gepatcht. Alle betroffenen Systeme sollten sofort auf die genannten Versionen oder ein gepatchtes Distributionspaket aktualisiert werden.

CVE‑2026‑109618 – “RCE via OOM corruption”

Ursache: Bei einem Out‑of‑Memory‑Zustand wird ein Request nur teilweise initialisiert. Beim Shutdown‑Handler wird dieser inkonsistente Zustand verarbeitet.
Ausnutzungsvektor: Präparierte Multipart‑Uploads (z. B. sehr viele Header pro Teil, leere Datei‑Felder, fehlende Content‑Length).
Betroffene Umgebungen: Apache mod_php (exekutiert vor Anwendungscode, höchstes Risiko), PHP‑FPM (nach Quellcode‑Analyse ebenfalls verwundbar, ein vollständiger Exploit wurde jedoch nicht demonstriert), vermutlich auch FrankenPHP.
CVSS v4.0: 9.2 – ausnutzbar ohne Authentifizierung.

CVE‑2026‑109619 – “RCE via stale global state”

Ursache: Der globale Zustand eines Requests überlebt im Worker, nachdem dessen Speicher freigegeben wurde. Ein späterer Request greift auf diesen bereits freigegebenen Speicher zu (Use‑After‑Free).
Ausnutzungsvektor: Jeder nicht‑authentifizierte Remote‑Angreifer kann den Zustand manipulieren und damit Remote Code Execution erreichen.
CVSS v4.0: 9.2 – ausnutzbar ohne Authentifizierung.

Betroffene Systeme

Alle PHP‑Installationen, die Web‑Requests bedienen: PHP‑FPM, Apache mod_php, php‑cgi, FrankenPHP, LiteSpeed.
Versionen unterhalb der gepatchten Releases (8.5.12, 8.4.27, 8.3.36, 8.2.35) sind verwundbar.
PHP 8.1 und älter erhalten keine offiziellen Sicherheitspatches mehr. Für 7.4, 8.0 und 8.1 gibt es lediglich minimale Source‑Backports (siehe Advisory).
Linux-Distributionen und LTS-Anbieter haben die Patches vorab erhalten – prüfen Sie die Pakete Ihrer Distribution; das Repository rpms.remirepo.net liefert für dieses Release jedoch keine Updates.
Hinweis: PHP 8.2 erreicht am 31. Dezember 2026 sein Lebensende – ein Upgrade auf 8.3+ wird dringend empfohlen.
Der frühere Bericht „Version 5‑8 betroffen“ stammt von CERT.at und ist nicht verifiziert; er wird hier nur als Hinweis gekennzeichnet.

Lage laut CERT.at

Exploit‑Code ist im Netz aufgetaucht, die Funktionsfähigkeit ist jedoch nicht bestätigt. CERT.at geht davon aus, dass Angriffe kurz nach dem Release beginnen, weil sich Exploits aus den veröffentlichten Patches ableiten lassen. Zwischen dem Release‑Datum und der Verfügbarkeit in den Paket‑Repositories kann es Verzögerungen geben – in solchen Fällen ist ein manuelles Patchen notwendig.

Übergangslösung, falls ein Update nicht sofort möglich ist (nur teilweiser Schutz, ersetzt kein Update)

; PHP‑FPM‑Pool oder php.ini
memory_limit = -1
; Setzen Sie das Limit in php_admin_value, damit es nicht überschrieben werden kann
; Begrenzen Sie den Container‑ bzw. cgroup‑Speicher, nicht RLIMIT_AS/DATA

; ohne Uploads reicht 8M
post_max_size = 32M
upload_max_filesize = 28M

session.upload_progress.enabled = 0
; Einstellung muss in php.ini, FPM‑Pool oder Server‑Konfiguration erfolgen
; und anschließend alle Worker neu starten

; Nur in PHP 8.5
fatal_error_backtraces = 0

Handlungsliste (kurz & praktisch)

Inventarisieren Sie alle PHP‑Installationen (Server, Container, Staging, Shared‑Hosting).
Updaten Sie sofort auf 8.5.12 / 8.4.27 / 8.3.36 / 8.2.35 bzw. auf das gepatchte Distributionspaket.
Worker/Dienste neu starten (Apache, PHP‑FPM, php‑cgi, etc.).
EOL‑Versionen < 8.2 migrieren auf einen unterstützten Branch.
Logs auf ungewöhnliche Multipart‑Requests überwachen (z. B. sehr viele Header, leere Dateien).
Backup: Stellen Sie sicher, dass aktuelle Backups vorhanden sind.