Die seit Mittwoch offiziell bekannten zwei PHP-Sicherheitslücken CVE-2026-109618 und CVE-2026-109619 (beide CVSS 9.2, kritisch) erlauben es Angreifern, aus der Ferne Code auszuführen. Betroffen sind sämtliche Versionen der letzten 20 Jahre. Die Hürde für den Angriff liegt relativ niedrig: Exploits wie von den Entdeckern Calif zeigten, dass schon mit zehntausenden HTTP-Anfragen in 38 Sekunden, Code auf dem angegriffenen Server ausführbar war; eine Anmeldung war nicht nötig.

Viele Dienste haben daher vorübergehend ihre Webseiten vom Netz genommen und auf die Patches gewartet. Eine andere Möglichkeit, um umfänglich sicher vor den Angriffen zu sein, gibt es nicht. Es gilt, keine Zeit zu vergeuden: Die Updates müssen unbedingt auf Servern, NAS und anderen vernetzten Geräten eingespielt werden, die eine webbasierte Oberfläche auf Basis von PHP verwenden. Bastler sollten zudem prüfen, ob ihre Mini-Server oder Raspi-Geräte nicht doch irgendwo PHP benutzen.

Aktualisierte Pakete liefern mittlerweile alle großen Distributionen aus, darunter Debian, Ubuntu, Fedora, Red Hat, SUSE, Gentoo und Slackware. Auf eigenen apt-basierten Linux-Servern oder Raspi-Geräten sollten Admins schleunigst die Kommandozeile aufrufen und die Befehle zum Update anstoßen:

php -v # Version prüfen
sudo apt update
sudo apt upgrade

Auf php.net sind die aktualisierten PHP-Versionen verfügbar.

(Bild: heise medien)

Anschließend müssen sämtliche PHP-Dienste neu gestartet werden. Die PHP-Versionen 8.5.12, 8.4.27, 8.3.36 und 8.2.35 für Anwendungen auf Windows, macOS sowie Linux-Distributionen stehen ebenfalls direkt bei php.net zum Download bereit.

Bei gemanagten Diensten sollte der Anbieter die Updates im Griff haben. Es schadet aber nicht, nachzufragen, um auf Nummer sicher zu gehen. Anwendungen in Docker-Containern mit veralteten PHP-Versionen brauchen aktualisierte Images, etwa per docker compose pull && docker compose up -d. Wer ein NAS-Gerät von Anbietern wie QNAP oder Synology betreibt, kann über die Softwareverwaltung nach Updates suchen.

Das PHP-Projekt veröffentlichte am 21. Oktober um 16:00 Uhr mitteleuropäischer Sommerzeit (14:00 Uhr UTC) eine Aktualisierung, um die beiden Sicherheitslücken CVE-2026-109618 (CVSS 9.2, kritisch) und CVE-2026-109619 (CVSS 9.2, kritisch) zu fixen. Derzeit sind viele Exploit-Versuche zu beobachten, laut Reuters spricht Cloudflare von Millionen Angriffsversuchen.

Wie die Sicherheitslücken genau ausgenutzt werden können und was dahintersteckt, haben wir bereits ausführlich in „Kritische Sicherheitslücken erlauben Codeeinschleusung in PHP“ berichtet.

(wid)