Zusammenfassung
Das PHP-Sicherheitsteam hat zwei kritische Remote-Code-Execution-Schwachstellen (CVE-2026-109618 und CVE-2026-109619) bekannt gegeben. Diese ermöglichen unauthentifizierte Angreifern die vollständige Übernahme von PHP-basierten Webservern. Ein Patch ist sofort verfügbar.
Was ist betroffen?
69,3% aller Websites weltweit nutzen PHP – darunter:
- WordPress & WooCommerce (WordPress-Sites)
- Drupal, Joomla, Magento
- Alle selbstgehosteten PHP-Applikationen
⚠️ Besonders kritisch: 36% aller WordPress-Installationen laufen noch auf nicht mehr gepflegten PHP-Versionen (8.1 oder älter) und erhalten keinen offiziellen Fix.
Technische Details
| Eigenschaft | Details |
|---|---|
| Schwachstellenart | Remote Code Execution (RCE) – unauthentifiziert |
| CVSS Score | 9.2 (kritisch) |
| Betroffene Versionen | Alle PHP-Versionen von PHP 5 aufwärts |
| Ursache | Session-Upload-Progress-Handler |
| Patch-Verfügbarkeit | 21.10.2026, 16:00 (MESZ) |
Chronologie der Entwicklung
- 19.–20. Oktober 2026: Schwachstellen werden vom PHP-Team vorbereitet, Details werden jedoch vorzeitig geleakt
- 20. Oktober, 22:33 MESZ: CERT-EU gibt Sicherheitswarnung ab
- 21. Oktober, 16:00 MESZ: PHP-Team veröffentlicht Notfall-Patch – Release wird vorverlegt
Handlungsempfehlungen
Betreiber von Webdiensten mit PHP sollten schnellstmöglich die bereits zur Verfügung gestellten Updates/Fixes einspielen.
Falls ein zeitnahes Update nicht möglich ist, sollten verwundbare Webdienste offline gestellt oder auf lokale Netze isoliert werden.
Weitere Informationen
- Offizieller PHP-Release: www.php.net
- BSI Sicherheitsmitteilung: BITS-H Nr. 2026-297981-1032
