maxanoo
Menü

PHP: zwei kritische Sicherheitslücken, Updates seit 21. Oktober 2026

PHP hat am 21. Oktober 2026 zwei kritische Lücken geschlossen (CVE-2026-109618, CVE-2026-109619). Welche Versionen die Fixes enthalten und was Magento-Shops jetzt tun sollten.

Veröffentlicht Aktualisiert 2 Min. Lesezeit von Allgemein Magento
Rote Warnleuchte: PHP-Sicherheitsrelease um 14:00 UTC

Das PHP-Projekt hat am 20. Oktober 2026 ein außerplanmäßiges Sicherheitsrelease angekündigt und es am 21. Oktober um 14:00 UTC veröffentlicht. Es schließt zwei Lücken, die beide mit 9,2 (CVSS 4.0) bewertet sind: CVE-2026-109618 und CVE-2026-109619. Informationen dazu waren schon vor dem Release öffentlich geworden.

Die Updates

  • PHP 8.5 → 8.5.12
  • PHP 8.4 → 8.4.27
  • PHP 8.3 → 8.3.36
  • PHP 8.2 → 8.2.35

PHP 8.1 und älter bekommen vom PHP-Projekt keine Updates mehr. Für 7.4, 8.0 und 8.1 gibt es minimale Quell-Backports; ob Ihre Distribution oder Ihr Hoster daraus Pakete baut, müssen Sie dort erfragen.

Was die Lücken ermöglichen

Beide führen zum Ausführen von Code über Web-Anfragen. Bei CVE-2026-109618 geht es um die Behandlung von Speichermangel mitten in der Verarbeitung einer Anfrage, bei CVE-2026-109619 um Zustand, der eine Anfrage überdauert und von der nächsten auf demselben Worker verwendet wird. Laut PHP sind alle Installationen gefährdet, die Web-Anfragen bedienen, also PHP-FPM, Apache mit mod_php, php-cgi, FrankenPHP und LiteSpeed. Am höchsten ist das Risiko bei mod_php: Dort genügt eine einzige Anfrage, bevor überhaupt Anwendungscode läuft.

Ob die Lücken bereits breit ausgenutzt werden, beurteilen die Quellen unterschiedlich. watchTowr meldet Angriffe seit dem 21. Oktober, andere Berichte sind zurückhaltender. Für Shopbetreiber ändert das nichts: aktualisieren.

Was Magento-Shops tun sollten

  1. Bestandsaufnahme: Welche PHP-Version läuft auf Webserver, PHP-FPM, Cron und Queue-Consumern? CLI und FPM können unterschiedlich sein.
  2. Update einspielen: Über die Paketquelle (Distribution, Ondřej-PPA, Remi, Docker-Image) oder beim Hoster nachfragen, wann das Update kommt.
  3. Nach dem Update: PHP-FPM bzw. Apache neu starten und die Version im Web-Kontext prüfen, nicht nur auf der Kommandozeile.
  4. Übergangsweise: PHP nennt Einstellungen, die das Risiko verringern, aber nicht beseitigen: session.upload_progress.enabled=0, ein niedrigeres post_max_size und memory_limit=-1. Sie müssen in der php.ini oder im FPM-Pool stehen, nicht per ini_set(). Vor allem memory_limit=-1 hat Nebenwirkungen und sollte nur kurz und mit Bedacht gesetzt werden.
  5. Danach beobachten: Logs und neue PHP-Dateien in pub/, pub/media/ und var/ in den nächsten Tagen im Blick behalten.

Shops auf PHP 8.1 oder älter sollten jetzt einen Plan für das Update haben. Bei Magento 2 hängt das meist an der Magento-Version.

Wenn Sie unsicher sind, ob Ihre Server betroffen sind, oder jemanden brauchen, der das Update einspielt, schreiben Sie mir.

Quellen: php.net: Ankündigung und Release · watchTowr: FAQ zu CVE-2026-109618. Erstfassung 21.10.2026, aktualisiert am 25.10.2026.