Die offizielle PHP-Sicherheitsübersicht veröffentlichte am 21. Oktober 2026 einen Hinweis zu CVE-2026-109618 und CVE-2026-109619. Laut Beitrag können beide Fehler Codeausführung ohne Anmeldung ermöglichen. Neue technische Details gegenüber dem Hinweis und den bereits gemeldeten korrigierten Releases liefert der Text nicht.

Entscheidend sind die tatsächlich laufende PHP-Umgebung und ihre Version sowie die installierten Korrekturen und die Serverkonfiguration. Geprüft werden muss die Umgebung, die Webanfragen über PHP-FPM oder Apache verarbeitet, denn die PHP-Version der Kommandozeile kann davon abweichen. Für ältere PHP-Zweige verweist der Beitrag auf Sicherheitshinweise des Betriebssystems oder des Hosting-Anbieters. Betreiber von VPS und dedizierten Servern sollen das passende Update selbst oder über einen Administrator einspielen. Kunden von Shared-Hosting sollen bestätigen lassen, dass beide Korrekturen installiert sind. Falls das nicht geschehen ist, sollen sie nach dem Termin für eine gepatchte Umgebung oder einen Umzug fragen.

Die Hinweise gelten für Websites und Webanwendungen sowie für APIs und Backend-Dienste. Nutzer von WordPress.com sollen die Sicherheitsmeldung der Plattform prüfen. Bei selbst gehostetem WordPress muss der Betreiber den Hoster einbeziehen oder den Server selbst aktualisieren. Ein WordPress-Update und ein Sicherheits-Plugin reparieren die PHP-Laufzeit nicht. Der Beitrag verweist auf W3Techs, um die große Verbreitung von PHP unter Websites mit bekannter serverseitiger Sprache zu belegen, sowie auf den offiziellen PHP-Hinweis.