Kritische Sicherheitslücken in PHP - Updates verfügbar

21. Oktober 2026

Beschreibung

In PHP existieren zwei kritische Sicherheitslücken, deren Ausnutzung es nicht authentifizierten Angreifer:innen ermöglichen kann, aus der Ferne beliebigen Code auszuführen. Betroffen sind laut PHP-Projekt alle PHP-Installationen, die Web-Anfragen verarbeiten, darunter PHP-FPM, Apache mit mod_php, php-cgi, FrankenPHP und LiteSpeed.

Bei CVE-2026-109618 kann die Behandlung von Out-of-Memory-Zuständen (OOM) PHP unterbrechen, während interne Anfragedaten nur teilweise initialisiert sind. Beim anschließenden Beenden der Anfrage werden diese ungültigen Daten als gültig verarbeitet. Bei CVE-2026-109619 kann anfragebezogener interner Zustand bestehen bleiben, nachdem der zugehörige Speicher bereits freigegeben wurde (Use-after-free). Eine spätere Anfrage, die vom selben Worker-Prozess verarbeitet wird, kann diesen veralteten Zustand vor der regulären Initialisierung verwenden.

CVE-Nummer(n): CVE-2026-109618, CVE-2026-109619

CVSS v4.0 Base Score: 9.2

Auswirkungen

Durch Ausnutzen der Schwachstellen können Angreifer:innen ohne Authentifizierung aus der Ferne beliebigen Code mit den Rechten des Benutzerkontos ausführen, unter dem der Webserver- bzw. PHP-Worker-Prozess läuft. CVE-2026-109619 ermöglicht zusätzlich das Auslesen von Speicherinhalten.

Das PHP-Projekt stuft das Risiko für Apache mit mod_php am höchsten ein: Für diese Konfiguration wurde eine Ausnutzung demonstriert, bei der eine nicht authentifizierte Anfrage den Angriff auslöst, bevor Anwendungscode ausgeführt wird. Für CVE-2026-109619 wurde die Codeausführung zusätzlich gegen PHP-FPM validiert. Angaben zu einer aktiven Ausnutzung macht das PHP-Projekt nicht.

Betroffene Systeme

  • PHP 8.5 vor Version 8.5.12
  • PHP 8.4 vor Version 8.4.27
  • PHP 8.3 vor Version 8.3.36
  • PHP 8.2 vor Version 8.2.35
  • PHP 8.1 und ältere Versionen (End of Life)

Abhilfe

Das PHP-Projekt stellt mit den Versionen 8.5.12, 8.4.27, 8.3.36 und 8.2.35 Updates bereit, welche die Schwachstellen beheben. Laut Hersteller ist ausschließlich ein Update eine vollständige Abhilfe. Linux-Distributionen und LTS-Anbieter haben die Patches vorab erhalten; aktualisierte Pakete sind über die jeweiligen Anbieter zu beziehen. Für das Repository rpms.remirepo.net sind laut PHP-Projekt am 21. Oktober 2026 keine Updates verfügbar. Betreiber:innen, die dieses Repository nutzen, wird empfohlen, auf Distributionspakete umzusteigen oder PHP aus dem Quellcode zu bauen.

PHP 8.1 und ältere Versionen erhalten keine Updates mehr vom PHP-Projekt. Einige Distributionen und LTS-Anbieter stellen zurückportierte Fixes bereit. Zusätzlich hat das PHP-Projekt minimale Quellcode-Backports für PHP 7.4, PHP 8.0 und PHP 8.1 veröffentlicht. Ein Upgrade auf eine unterstützte Version wird empfohlen. PHP 8.2 erreicht am 31. Dezember 2026 das End of Life.

Falls ein sofortiges Update nicht möglich ist, reduzieren folgende Maßnahmen die Angriffsfläche für einzelne bekannte Angriffswege. Sie bieten jedoch keinen vollständigen Schutz:

  • CVE-2026-109618: memory_limit=-1 so setzen, dass Anwendungen den Wert nicht überschreiben können (z. B. per php_admin_value in der FPM-Pool- oder Apache-Konfiguration). Einen niedrigen Wert für post_max_size setzen (8M ohne Datei-Uploads, 32M mit Datei-Uploads) und upload_max_filesize darunter halten. Zusätzlich können Begrenzungen auf Webserver- bzw. Proxy-Ebene (u. a. Anfragegröße, Anzahl der Eingabefelder, Multipart-Teile und Header) gesetzt werden. Container- oder cgroup-Speicherlimits können als Verfügbarkeitsgrenze dienen; RLIMIT_AS und RLIMIT_DATA sollten nicht verwendet werden, da diese die verwundbare Speicherallokation auslösen können.
  • CVE-2026-109619: session.upload_progress.enabled=0 in php.ini, in der FPM-Pool- oder Serverkonfiguration setzen (nicht über ini_set() oder .user.ini) und alle Worker-Prozesse neu starten. Unter PHP 8.5 zusätzlich fatal_error_backtraces=0 setzen und alle Worker-Prozesse neu starten. Ungültige oder veraltete INI-Einstellungen, die pro Anfrage angewendet werden und vor der Initialisierung Diagnosemeldungen erzeugen, sollten entfernt werden. Das Unterdrücken dieser Meldungen über error_reporting, display_errors oder @ ist nicht ausreichend. Weiters sollten von außen auslösbare Fatal Errors und Ausführungs-Timeouts behoben werden.

Hinweis

Generell empfiehlt CERT.at, sämtliche Software aktuell zu halten und dabei insbesondere auf automatische Updates zu setzen. Regelmäßige Neustarts stellen sicher, dass diese auch zeitnah aktiviert werden.

Informationsquelle(n):

Security advisory: Critical remote code execution vulnerabilities, update now (Englisch)
https://www.php.net/index.php#2026-10-21-5

GitHub Security Advisory GHSA-w8hw-w9fx-j79w: RCE via OOM corruption (Englisch)
https://github.com/php/php-src/security/advisories/GHSA-w8hw-w9fx-j79w

GitHub Security Advisory GHSA-6wmf-4rv5-p3rp: RCE via stale global state (Englisch)
https://github.com/php/php-src/security/advisories/GHSA-6wmf-4rv5-p3rp