Golem
www.golem.de

Nach einem Leak warnt die PHP Group vor zwei kritischen PHP-Lücken, die zahlreiche Webplattformen gefährden. Ein Patch erscheint in Kürze.

Der geplante Veröffentlichungszeitpunkt für die Korrekturen ist der 21. Oktober um 16 Uhr deutscher Zeit.

Angreifer können bei anfälligen PHP-Installationen potenziell Schadcode auf den jeweiligen Webserver schleusen. Hinweise auf eine aktive Ausnutzung von CVE-2026-109618 und CVE-2026-109619 gibt es zwar bisher nicht […]. Die Sansec-Forscher gehen sogar von einer massenhaften Ausnutzung innerhalb von nur 15 Minuten aus.

PHP Group Sicherheitsmeldung: https://www.php.net/archive/2026.php#2026-10-20-1

Infos zu möglichen Gegenmassnahmen vor den Patches: https://www.vincentschmalbach.com/cve-2026-109618-and-cve-2026-109619-what-you-should-do-now/

  • luciferofastora@feddit.org
    2·
    10 days ago

    Per dem Post von Vincent Schmalbach (zweiter Link im Textkörper):

    Update, 21 October 2026, 14:30 UTC. PHP has released the fixes. Update to PHP 8.5.12, 8.4.27, 8.3.36 or 8.2.35 now.

    On Ubuntu and Debian, check what your package source really offers with apt-cache policy php8.3-fpm (adjust the version) before you assume you are patched. Shortly after the release, Ondřej Surý’s official packages.sury.org repository already had 8.3.36 and 8.4.27, while the older Launchpad PPA that Laravel Forge uses still served 8.3.35 and 8.4.26 at about 13:50 UTC. After updating, restart PHP-FPM and every long-running PHP worker such as queue workers, Horizon and Reverb.