Nach einem Leak warnt die PHP Group vor zwei kritischen PHP-Lücken, die zahlreiche Webplattformen gefährden. Ein Patch erscheint in Kürze.
Der geplante Veröffentlichungszeitpunkt für die Korrekturen ist der 21. Oktober um 16 Uhr deutscher Zeit.
Angreifer können bei anfälligen PHP-Installationen potenziell Schadcode auf den jeweiligen Webserver schleusen. Hinweise auf eine aktive Ausnutzung von CVE-2026-109618 und CVE-2026-109619 gibt es zwar bisher nicht […]. Die Sansec-Forscher gehen sogar von einer massenhaften Ausnutzung innerhalb von nur 15 Minuten aus.
PHP Group Sicherheitsmeldung: https://www.php.net/archive/2026.php#2026-10-20-1
Infos zu möglichen Gegenmassnahmen vor den Patches: https://www.vincentschmalbach.com/cve-2026-109618-and-cve-2026-109619-what-you-should-do-now/
Ich hab erstmal PHP auf all meinen Servern abgestellt. Besser ein paar Stunden Downtime als sich danach um Einbrüche kümmern zu müssen.
Netcup hat auch angekündigt erstmal all ihre PHP-basierten Dienste vom Netz zu nehmen:
Wir werden in den nächsten Minuten das Forum, Customer Control Panel, Plesk, CloudDNS API und Webmail vorsorglich abschalten, bis wir einen Patch haben. Das SCP bleibt online. Zudem werden wir ab der Veröffentlichung des Patches alle Webhosting Pakete (inkl. Managed Server) offline nehmen, bis wir alles durchgepatched haben. Den Zugriff auf Plesk werden wir sofort abschalten. Wir schätzen ungefähr 3-5 Stunden an Downtime für die Webhostings.
Per dem Post von Vincent Schmalbach (zweiter Link im Textkörper):
Update, 21 October 2026, 14:30 UTC. PHP has released the fixes. Update to PHP 8.5.12, 8.4.27, 8.3.36 or 8.2.35 now.
On Ubuntu and Debian, check what your package source really offers with apt-cache policy php8.3-fpm (adjust the version) before you assume you are patched. Shortly after the release, Ondřej Surý’s official packages.sury.org repository already had 8.3.36 and 8.4.27, while the older Launchpad PPA that Laravel Forge uses still served 8.3.35 and 8.4.26 at about 13:50 UTC. After updating, restart PHP-FPM and every long-running PHP worker such as queue workers, Horizon and Reverb.
