Neue Meldungen zeigen die praktischen Folgen von php2shell: Behörden und Einrichtungen in mehreren Ländern nahmen Webseiten vom Netz, nachdem BSI und CISA zu sofortigem Handeln geraten hatten. Cloudflare registrierte Mil…
Amazon Web Services entdeckte am 17. Oktober, vier Tage vor der Veröffentlichung der PHP-Patches und den öffentlichen Berichten, einen Versuch, PHP2Shell auszunutzen. Der Datenverkehr erreichte einen AWS-Honeypot von ein…
Amazon Linux 2023 führt CVE-2026-109618 und CVE-2026-109619 als „Important“, obwohl PHP und andere öffentliche Einstufungen für beide Schwachstellen CVSS v4.0 mit 9,2 und die Stufe „Critical“ nennen. Laut AWS sind PHP 8.…
Das PHP-Sicherheitsrelease vom 21. Oktober 2026 schließt zwei kritische RCE-Lücken, doch eine neue Analyse rückt die Reaktionsfähigkeit von Teams in den Mittelpunkt. Sie ordnet die behobenen Branches und die SAPI-spezifi…
PHP will am 21. Oktober 2026 um 14:00 UTC ein dringendes Sicherheitsupdate für zwei kritische Schwachstellen veröffentlichen. Beide sind nach CVSS v4.0 mit 9,2 von 10 bewertet. CERT-EU nennt CVE-2026-109618 und CVE-2026-…
PHP hat am 21. Oktober 2026 Notfallupdates für CVE-2026–109618 und CVE-2026–109619 veröffentlicht. Beide nicht authentifizierten Lücken ermöglichen möglicherweise Remote Code Execution und haben einen CVSS-v4.0-Wert von …
FrankenPHP 1.13.2 ist am 21. Oktober als Sicherheitsupdate für den PHP-Anwendungsserver erschienen. Die Docker-Images und statischen Binärdateien enthalten PHP-Versionen mit Korrekturen für PHP2Shell, zwei kritische Lück…
Das niederländische National Cyber Security Centre (NCSC) hat NCSC.NL vorsorglich abgeschaltet und dabei auf Schwachstellen in PHP verwiesen. Das PHP-Sicherheitsteam soll laut Behörde um 16:00 Uhr niederländischer Zeit e…
Ein Beitrag vom 21. Oktober beschreibt eine mutmaßlich eigenständige PHP-Sicherheitslücke, die in PHP 8.4.25 einen Double-Free-Fehler von AddressSanitizer auslöst. Laut Autor ließ sich das Verhalten in PHP 8.5.10 bestäti…
Ein Beitrag auf r/PHP fragt, warum CloudLinux zunächst Patches für PHP 7.4 und 8.0 aufführt, während Aktualisierungen für 8.2 bis 8.5 noch ausstehen. Im Mittelpunkt stehen CVE-2026-109618 und CVE-2026-109619. Laut Autor …
Calif Research beschreibt CVE-2026-109618 und CVE-2026-109619 in einer technischen Analyse. PHP hat beide Schwachstellen mit dem Security-Release vom 21. Oktober 2026 behoben. Der gemeinsam mit OpenAI und Wiz erarbeitete…
Das PHP-Projekt hat neue Punktversionen für vier Entwicklungszweige veröffentlicht: PHP 8.5.12, PHP 8.4.27, PHP 8.3.36 und PHP 8.2.35. Die Veröffentlichung nennt weder ein Changelog noch Einzelheiten zu Sicherheitskorrek…
Laravel hat am 21. Oktober die Framework-Version v12.70.1 als gezielten Patch für den 12.x-Zweig veröffentlicht. Die Veröffentlichung enthält einen Commit, e09fc54, aus Pull Request #62027 von @valorin. Die Änderung verh…
Ein Hacker-News-Beitrag erwartet für den 22. Oktober 2026 um 18:00 CEST eine PHP-Ankündigung zu zwei Lücken für Remote Code Execution mit jeweils CVSS 10.0. Genannt werden CVE-2026-109618 und CVE-2026-109619. Der Verfass…
Symfony 6.4 ist bei seinem 48. Patch-Release angekommen, und die Runde dieser Woche hat Sicherheitslücken in Yaml und HttpFoundation sowie einen Zeitzonenfehler in Clock behoben. Laravel-Teams warten meist darauf, dass i…
Laravels Token-API-Guard erlaubte auf MySQL und MariaDB den unauthentifizierten Zugriff auf bestehende Konten, wenn ein Angreifer einen Nicht-String als Zugangsdaten übergab. Die kritische Lücke mit CVSS 9.2 ist in 12.68…
Ein Beitrag in r/PHP ordnet CVE-2026-108082 als ReDoS-Problem in Symfony ein. Demnach kann eine einzige Anfrage die CPU mehrere Sekunden lang auslasten. Der vorliegende Auszug nennt keine betroffenen Symfony-Versionen od…
Laravel 13.38.0 ist am 20. Oktober 2026 als Wartungsupdate für den 13.x-Zweig erschienen. Die Version ändert Validierung, Eloquent-Relationen, Datenbankabfragen, Queues, Benachrichtigungen, Logging, Caching und Lazy Coll…
Der RFC, der PECL für veraltet erklärt hat, hat nichts kaputt gemacht und keine Frist gesetzt. Deshalb lassen die meisten von uns pecl install einfach stehen. Ich halte das für falsch. Die Lücken in PIE sind echt, aber k…
RoadRunner 3 ist verfügbar und kehrt zu Semantic Versioning zurück. Alle PHP-Pakete verwenden nun den gemeinsamen Namespace roadrunner/*. Die Version unterstützt PHP 8.2 und neuer, erweitert HTTP-, Jobs-, Proxy-, Redis- …
Der Symfony-Rückblick vom 12. bis 18. Oktober 2026 meldet Wartungsarbeiten in vier Release-Branches sowie Sicherheitskorrekturen für Yaml und HttpFoundation. Symfony UX 3.6 bringt experimentelle Werkzeuge. Zugleich gab d…
Laravel 13.36 ist im Oktober 2026 erschienen. Das Update ergänzt fluente Builder für weitere Validierungsregeln und bringt mit DB::olap() eine Schnittstelle für analytische Abfragen auf kompatiblen Vitess-Systemen wie Pl…
Der ausführliche Upstream-Eintrag zu FrankenPHP 1.13.0 nennt fünf behobene Sicherheitsprobleme, darunter zwei mit hoher Einstufung. Hinzu kommen Caddy 2.11.7, Mercure 1.0, sichere Konfigurations-Reloads, PHP-8.6-Kompatib…
Manticore ist ein Ahead-of-Time-Compiler für PHP 8.5+ mit LLVM-Backend und kann nun Symfony-Anwendungen kompilieren. Der Meilenstein umfasst ein Symfony-Skeleton ohne Doctrine sowie einfache Symfony-Console-Anwendungen. …
Im September 2025 beschloss die PHP-Community, PIE, den PHP Installer for Extensions, künftig gegenüber PECL für die Installation nicht gebündelter Erweiterungen zu empfehlen. PIE 1.5.2 kompiliert und aktiviert Pakete vo…
