Das PHP-Sicherheitsteam hat für den 21. Oktober 2026 um 14:00 UTC ein Sicherheitsrelease angekündigt. Es soll zwei kritische Schwachstellen beheben, die jeweils nach CVSS v4.0 mit 9,2 von 10 bewertet sind. CERT-EU führt in der Security Advisory 2026-018 die Schwachstellen CVE-2026-109618 und CVE-2026-109619 auf und weist auf mögliche Remote Code Execution hin.

Zum Zeitpunkt dieser Statusmeldung hatte PHP noch keine technischen Details sowie keine betroffenen oder korrigierten Versionen veröffentlicht. Die Warnung selbst ist bestätigt, die konkrete Gefährdung einzelner Installationen aber noch nicht. Remote Code Execution kann einem Angreifer ermöglichen, Code auf einem Server auszuführen. Je nach Schwachstelle und Berechtigungen des betroffenen Prozesses könnten Anwendungsdaten zugänglich werden, Zugangsdaten offengelegt oder Website-Dateien verändert werden. Das sind mögliche Folgen dieser Fehlerklasse und keine bestätigten Auswirkungen auf jede PHP-Installation.

CERT-EU empfiehlt, PHP-Anwendungen zu erfassen und die Installation der Korrekturen vorzubereiten. Ist eine sofortige Behebung nicht möglich, sollten Organisationen öffentlich erreichbare Anwendungen bis zum verfügbaren Fix von öffentlichen Netzen isolieren. Eine pauschale Abschaltung aller Server fordert die Behörde nicht.

Zuerst muss geklärt werden, wer PHP in der Produktionsumgebung aktualisieren kann. Anwendungsteams, Serverbetrieb und Hosting-Anbieter können unterschiedliche Teile der Infrastruktur kontrollieren. Auch Kundenprojekte können unter verschiedenen Betriebsmodellen laufen. Das Inventar sollte öffentliche Websites, APIs, Administrationswerkzeuge und ältere Projekte umfassen. Für jede Umgebung gehören die eingesetzte PHP-Version und die zuständige Person in die Dokumentation. Entscheidend ist der Runtime-Prozess für Webanfragen, denn die PHP-Version der Kommandozeile kann auf eine andere Installation verweisen.

Vor dem Rollout sollten Backups und ein Wiederherstellungsplan geprüft werden. Für jede Umgebung braucht es einen bekannten Update-Weg und kurze Funktionstests. Sobald PHP die Advisory veröffentlicht, müssen die eigenen Versionen und Konfigurationen mit den betroffenen Varianten abgeglichen werden. Maßgeblich sind die von PHP, dem Betriebssystemanbieter oder dem Hoster genannten korrigierten Versionen. Hinweise aus sozialen Netzwerken ersetzen diese Angaben nicht.

Nach dem Update ist zu prüfen, ob die Anwendung tatsächlich die gepatchte Runtime verwendet. Tests sollten die Anmeldung und wichtige API-Anfragen abdecken. Danach folgen Uploads, Datenbankzugriffe und gegebenenfalls Hintergrundverarbeitung. Zuletzt sollte dokumentiert werden, welche Umgebungen aktualisiert sind und wo noch Handlungsbedarf besteht.

Diese Meldung basiert auf den am 21. Oktober 2026 vor dem geplanten Release verfügbaren Hinweisen. Als Quellen dienen PHPs Ankündigung des kritischen Sicherheitsreleases und die CERT-EU Security Advisory 2026-018.