PHP behebt zwei kritische unauthentifizierte RCE-Schwachstellen (CVE-2026-109618, CVE-2026-109619): Jetzt aktualisieren
22. Oktober 2026
0 Min. LesezeitAm Mittwoch, dem 21. Oktober 2026, um 14:00 UTC veröffentlichte das PHP-Projekt PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35, um zwei kritische Sicherheitslücken zu schließen. Beide wurden mit CVSS v4.0 9.2 bewertet und können unauthentifizierte Remote Code Execution ermöglichen. Das PHP-Sicherheitsteam rät: „Es gibt keine vollständigen Abhilfemaßnahmen; ein Update ist die einzige sichere Option.“
Dabei handelt es sich um Fehler in der PHP-Laufzeitumgebung, nicht in einem Composer-Paket. Das ändert, wie Sie sie erkennen und beheben – wir erklären es weiter unten.
Kurz gesagt: Wenn Sie PHP zum Verarbeiten von Webanfragen einsetzen (PHP-FPM, Apache mit mod_php, php-cgi, FrankenPHP, LiteSpeed), aktualisieren Sie noch heute auf 8.5.12, 8.4.27, 8.3.36 oder 8.2.35. Wenn Sie Version 8.1 oder älter verwenden, beziehen Sie ein Paket mit Backport von Ihrer Distribution oder Ihrem LTS-Anbieter oder führen Sie ein Upgrade durch.
Was ist passiert?
Alle Zeitangaben sind in UTC.
20. Oktober: Das PHP-Sicherheitsteam veröffentlichte eine Vorabankündigung für ein kritisches Sicherheitsrelease, das für den 21. Oktober um 14:00 UTC geplant war. Es behebt zwei mit CVSS v4.0 9.2 bewertete Sicherheitslücken. Das Team behielt sich vor, das Release früher zu veröffentlichen, falls Details bekannt würden oder Angriffe in freier Wildbahn beobachtet würden.
21. Oktober, vor 14:00 UTC: Snyk veröffentlichte Warnmeldungen zu beiden CVEs, SNYK-UNMANAGED-PHP-21347795 (CVE-2026-109618) und SNYK-UNMANAGED-PHP-21347796 (CVE-2026-109619), um Kunden auf die erforderlichen Maßnahmen hinzuweisen und sicherzustellen, dass überwachte Projekte sofort einen Treffer erhalten, sobald die korrigierten Versionen bekannt sind.
21. Oktober, 14:00 UTC: Die PHP-Sicherheitswarnung und die vier korrigierten Versionen werden veröffentlicht. Innerhalb von etwa 30 Minuten werden die Snyk-Warnmeldungen um alle relevanten Details ergänzt, einschließlich betroffener Versionsbereiche und korrigierter Versionen.
Ab dem 21. Oktober: Linux-Distributionen (die die Patches vorab erhalten hatten) beginnen, eigene Warnmeldungen zu veröffentlichen. Snyk veröffentlicht Warnmeldungen zu den Distributionen, sobald sie erscheinen, zum Beispiel SNYK-UBUNTU2604-PHP85-21373920. Die laufend aktualisierte Liste finden Sie unter CVE-2026-109618 und CVE-2026-109619.
Die beiden Sicherheitslücken
Beide Sicherheitslücken liegen im Request-Lebenszyklus der PHP-Engine und sind daher erreichbar, bevor Anwendungscode ausgeführt wird. Das ist ein Grund dafür, dass diese Sicherheitslücken so weit verbreitet und gefährlich sind.
Technische Details
CVE-2026-109618, RCE durch Speichermangel-bedingte Beschädigung: Die Behandlung eines Speichermangels kann PHP unterbrechen, während interne Request-Daten noch nicht vollständig initialisiert sind. Bei der Bereinigung des Requests werden die ungültigen Daten anschließend als gültig behandelt. Ein Angreifer, der einen Worker mit einer bösartigen Anfrage an sein Speicherlimit bringen kann, kann die Unterbrechung auslösen.
CVE-2026-109619, RCE durch veralteten globalen Zustand: Interner, einem Request zugeordneter Zustand kann erhalten bleiben, nachdem der zugehörige Speicher freigegeben wurde. Ein späterer Request, der von demselben Worker verarbeitet wird, kann diesen veralteten Zustand verwenden, bevor die normale Initialisierung ihn zurücksetzt. Bei einem Modell mit langlebigen Workern handelt es sich dabei um einen Use-after-free über mehrere Requests hinweg.
Diese Fehler wurden mit Unterstützung von KI in einer Laufzeitumgebung gefunden, die seit drei Jahrzehnten in der Produktion eingesetzt wird. In einer Welt voller LLMs und Agents laufen weiterhin überall Server – und das Modell, das diese Sicherheitslücken gefunden hat, ist derselbe Modelltyp, über den nun auch Angreifer verfügen. Das ist die Grundlage von Evo by Snyk: KI-gestützte Sicherheit für die Anwendungen, die Agents ausführen, und nicht nur für die Agents selbst.
Wer ist betroffen?
Alle PHP-Installationen, die Webanfragen verarbeiten, sind gefährdet. Dazu gehören PHP-FPM, Apache mit mod_php, php-cgi, FrankenPHP, LiteSpeed usw. Apache mit mod_php ist am stärksten gefährdet: Ein demonstrierter Exploit zeigt, dass eine einzige unauthentifizierte Anfrage den Angriff auslösen kann, bevor Anwendungscode ausgeführt wird.
PHP 8.1 und ältere Versionen werden vom PHP-Projekt nicht mehr aktualisiert. Daher sind ungepatchte Installationen von 8.1, 8.0 oder 7.4 betroffen und es gibt keine Upstream-Korrektur. Angesichts des Schweregrads veröffentlichte das PHP-Sicherheitsteam minimale Quellcode-Backports für 7.4, 8.0 und 8.1 – für alle, die selbst aus dem Quellcode bauen oder keinen LTS-Anbieter haben.
Was Sie jetzt tun sollten
Aktualisieren Sie. Die korrigierten Versionen sind PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35. Beachten Sie, dass Version 8.2 am 31. Dezember 2026 das Supportende erreicht. Wenn Sie also 8.2 einsetzen, sollten Sie jetzt auch das nächste Upgrade planen.
Prüfen Sie Ihren Anbieter. Linux-Distributionen und LTS-Anbieter erhielten die Patches vor der Veröffentlichung. Installieren Sie deren aktualisierte Pakete, statt auf einen Build aus dem Quellcode zu warten. Ein gepatchter Distributions-Build kann weiterhin eine ältere Versionsnummer tragen. Prüfen Sie daher auch die Warnmeldung oder den Patch-Stand der Distribution.
Prüfen Sie, was tatsächlich ausgeführt wird. Kontrollieren Sie die PHP-Version auf jedem Host und in jedem Image (
php -voder den Image-Tag). Scan-Ergebnisse allein bestätigen nicht, dass eine Installation korrigiert wurde.Wenn Sie heute nicht aktualisieren können, führt PHP Abhilfemaßnahmen auf, die die Gefährdung durch bestimmte Angriffswege verringern, eine Installation jedoch nicht sicher machen: memory_limit=-1 setzen, sofern Anwendungen den Wert nicht überschreiben können; einen niedrigen post_max_size festlegen; session.upload_progress.enabled=0 setzen und anschließend alle Worker neu starten; sowie unter 8.5 fatal_error_backtraces=0 setzen. Die jeweiligen Einschränkungen finden Sie in der entsprechenden Warnmeldung.
Unter PHP 8.1 oder älter sollten Sie auf eine unterstützte Version aktualisieren oder ein Paket mit Backport von Ihrer Distribution oder Ihrem LTS-Anbieter beziehen. Die PHP-Quellcode-Backports für 7.4, 8.0 und 8.1 sind für Teams, die selbst aus dem Quellcode bauen, nur als letzte Option gedacht.
Die Open-Source-Seite
Das PHP-Sicherheitsteam informierte das Ökosystem einen Tag im Voraus über einen festen Veröffentlichungstermin und den Schweregrad, ohne Details zu möglichen Angriffen preiszugeben. Die Patches wurden vorab mit Linux-Distributionen geteilt, damit die Paketkorrekturen zeitgleich mit der Veröffentlichung des Quellcodes bereitgestellt werden konnten. Für nicht mehr unterstützte Versionen veröffentlichte das Team Backports (7.4, 8.0, 8.1). Nutzer eines beliebten, von Freiwilligen betriebenen Repositorys (rpms.remirepo.net) wurden darüber informiert, dass es am ersten Tag nicht aktualisiert werden würde und welche Alternativen es gibt. Auch bei den Hinweisen zu Abhilfemaßnahmen wird transparent erläutert, wovor die einzelnen Einstellungen nicht schützen.
So sieht eine koordinierte Offenlegung aus, wenn ein von Freiwilligen getragenes Projekt sie richtig umsetzt. Deshalb konnten wir bei Snyk die Warnmeldungen bereits vor der Veröffentlichung bereitstellen und kurz danach vervollständigen: Ein veröffentlichter Zeitplan ermöglicht es allen nachgelagerten Beteiligten, sich vorzubereiten.
Verhalten von Snyk SCA
Snyk Open Source liest aus, was Ihre Anwendung in Manifest- oder Build-Dateien wie composer.json und composer.lock deklariert. Der PHP-Interpreter ist keine deklarierte Abhängigkeit. Er wird über ein Dockerfile, ein Distributionspaket, ein Plattform-Image oder manuell installiert. Eine Einschränkung wie "php": ">=8.2" in composer.json zeigt, welche Versionen die Anwendung akzeptiert, aber nicht genau, was tatsächlich bereitgestellt wird.
Wie die Snyk Platform Ihnen hilft, exponierte PHP-Installationen zu finden
Verwendetes Produkt | Ergebnisse für CVE-2026-109618 und CVE-2026-109619 |
|---|---|
Snyk Open Source (CLI oder SCM-Integration) | Die CVEs selbst werden nicht gemeldet, da die PHP-Laufzeitumgebung keine reguläre Abhängigkeit in Ihrer Manifestdatei ist. Bei PHP-/Composer-Projekten zeigt Snyk die deklarierten Abhängigkeiten der Anwendung an. So können Sie erkennen, welche Ihrer Projekte PHP-Anwendungen sind. Aus der deklarierten PHP-Versionsbeschränkung lässt sich nicht ableiten, welche Version bereitgestellt wird. |
Snyk C/C++ Unmanaged-Scanning | Warnmeldungen werden angezeigt, wenn die PHP-Laufzeitumgebung in Ihrem Projekt vorhanden ist, und lassen sich nach CVE-ID filtern. |
Snyk Container | PHP, das über Linux-Distributionspakete installiert wurde, wird gemeldet, sobald die Distribution ihre Warnmeldung veröffentlicht hat. Einige unterstützte Distributionen haben bereits Warnmeldungen veröffentlicht, die in den Testergebnissen verfügbar sind (zum Beispiel SNYK-RHEL10-PHP84-21392647 und SNYK-UBUNTU2604-PHP85-21373920). Weitere Warnmeldungen importieren wir, sobald sie veröffentlicht werden. Sie finden sie hier: CVE-2026-109618 CVE-2026-109619. Von Snyk Container wird PHP, das aus dem Quellcode kompiliert wurde – darunter die offiziellen php:-Docker-Images –, nicht erkannt. |
Snyk API & Web | DAST-Tests untersuchen laufende Anwendungen von außen und ermitteln ihren Technologie-Stack. |
Zero Day-Bericht | Der Snyk Zero Day-Bericht ordnet Ihre Projekte den Warnmeldungen zu. Daher kann er nur Projekte aufführen, die mit „Unmanaged-Scans“ oder Container-Scans von Distributionspaketen gescannt wurden. Bei Projekten, die ausschließlich mit Open Source gescannt wurden, werden keine Ergebnisse angezeigt. |
Mit Snyk API & Web Ihre PHP-Angriffsfläche ermitteln
Bevor Sie patchen können, müssen Sie zunächst eine Liste haben. Der Tab Discovery in Snyk API & Web listet die auf Ihren Domains gefundenen Assets auf und ermittelt deren Technologie-Stack. Öffnen Sie Discovery, setzen Sie den Filter Tech auf PHP, und Sie erhalten alle ermittelten Hosts und Endpunkte, bei denen PHP erkannt wurde – mit Risikobewertung, Score und Datum der letzten Erkennung. Anschließend können Sie sie scannen oder als Ziel hinzufügen.
Derselbe Filter Tech ist auch in der Liste Targets verfügbar. So können Sie hinzugefügte Anwendungen auf die gleiche Weise nach PHP filtern.
Damit erfahren Sie nicht, welche PHP-Version verwendet wird. Sie sehen jedoch, wo Sie suchen müssen – ein entscheidender Schritt zur Behebung.
Was wir tun
Die Warnmeldungen zu beiden CVEs wurden vor der für 14:00 UTC angesetzten PHP-Veröffentlichung bereitgestellt und innerhalb von etwa 30 Minuten um betroffene Versionen und Details zu den Korrekturen ergänzt.
Warnmeldungen der Distributionen werden importiert, sobald die jeweilige Linux-Distribution sie veröffentlicht. Ubuntu und Red Hat sind bereits verfügbar.
Für dieses Ereignis ist ein Zero Day-Bericht für Unmanaged- und Container-Projekte verfügbar.
Wie immer verfolgt das Sicherheitsforschungsteam von Snyk diese Offenlegung und aktualisiert die Warnmeldungen, sobald neue Informationen vorliegen. Bei Fragen wenden Sie sich an Ihr Snyk-Account-Team oder den Support.
Referenzen
REPORT
Status der Einführung agentischer KI 2026: Band III
Ihre Liste freigegebener Modelle zeigt, was eingesetzt wird – nicht, worauf die einzelnen Modelle zugreifen können. Sie fragen sich, wo Sie mit dem Audit Ihrer Agenten beginnen sollen?
