PHP-Entwickler sollen sich auf kritische Sicherheitsupdates vorbereiten

PHP-Entwickler stehen vor einem dringenden Noteinsatz: Das Sicherheitsteam hat am 21. Oktober 2026 ein außerplanmäßiges Sicherheitsupdate für zwei kritische Remote-Code-Ausführungs-Schwachstellen angekündigt, nachdem Einzelheiten und Proof-of-Concept-Tools im Internet durchgesickert waren.

Das geplante Notfall-Release und die offizielle Bewertung

Das PHP-Sicherheitsteam hat für Mittwoch, den 21. Oktober 2026, um 14:00 UTC (10:00 Uhr Eastern Time) eine außerplanmäßige Sicherheitsveröffentlichung angesetzt, wie die offizielle Ankündigung des Laravel-Teams und Berichte von BleepingComputer bestätigen. Im Fokus stehen zwei kritische Sicherheitslücken, die vom PHP-Entwicklungsteam jeweils mit einem Wert von 9,2 auf der CVSS-v4.0-Skala eingestuft wurden.

In einer offiziellen Mitteilung am Dienstagabend erklärten die Betreuer der Programmiersprache: Alle PHP-Nutzer werden dazu aufgerufen, sich jetzt vorzubereiten, damit sie ein Upgrade durchführen können, sobald das Release verfügbar ist. Zugleich hielten sie sich offen, die Patches noch früher bereitzustellen, sollten Details zu einer der beiden Schwachstellen öffentlich werden oder sollte es Anzeichen für aktive Ausnutzungen in freier Wildbahn geben, wie Ars Technica berichtet. Das steile Tempo der Veröffentlichung zeigt, wie ernst die Lage von den Kernentwicklern eingeschätzt wird.

Die Kontroverse um Schweregrade und durchgesickerte Exploits

Während das PHP-Team die Schwere mit 9,2 nach CVSS v4.0 beziffert, meldeten Sicherheitsforscher abweichende Einschätzungen. Sicherheitsforscher teilten Details zu den Lücken und behaupteten, beide würden einen perfekten CVSS-Wert von 10,0 erreichen und sämtliche PHP-Versionen seit PHP 5 aus dem Jahr 2004 betreffen. Sicherheitsunternehmen wie watchTowr bestätigten die Existenz der Schweregrade und warnten vor der Tragweite. Benjamin Harris erklärte gegenüber Cyber Daily:

In der letzten Stunde wurden zwei Remote-Code-Ausführungs-Schwachstellen in PHP geleakt. Diese Schwachstellen standen zuvor unter Embargo und sollten am Donnerstag um 11 Uhr veröffentlicht werden

Benjamin Harris fügte hinzu, wie Cyber Daily berichtete: Auch wenn wir aus naheliegenden Gründen aufgrund der Sensibilität zum aktuellen Zeitpunkt keine technischen Informationen teilen können, können wir bestätigen, dass diese Schwachstellen tatsächlich real sind. Beide haben den CVSS-Wert 10 und betreffen nach unserem Verständnis die PHP-Versionen 5, 6, 7 und 8. Die von den Forschern verwendeten Bezeichnungen lauten CVE-2026-109618 und CVE-2026-109619. Gleichzeitig kursierte ein Video eines Exploit-Tools namens PHP2Shell, das die Ausführung von Code auf Servern mit verbreiteten Plattformen wie WordPress, Magento und Joomla demonstrierte, wie Blockonomi anmerkt.

Unterstützte PHP-Zweige und die Risiken für veraltete Systeme

Ungeachtet der Diskussionen um ältere Softwaregenerationen erhalten offizielle Patches von den PHP-Maintainern ausschließlich die vier aktiv unterstützten Branches. Wie The Hacker News darlegt, betrifft dies die Versionen 8.2 bis 8.5. Die folgende Übersicht zeigt den aktuellen Unterstützungsstatus und die Release-Struktur dieser Zweige:.

Sollten sich die Berichte bestätigen, dass auch Installationen ab PHP 5 betroffen sind, droht Millionen älterer Server das Aus ohne offiziellen Vendor-Patch, da diese Versionen längst das Ende ihres Lebenszyklus erreicht haben.

Globale Sicherheitswarnungen und Cloudflare-Schutzmaßnahmen

Regionale Behörden und Sicherheitsinfrastrukturen reagierten umgehend auf den Vorfall. Das britische National Cyber Security Centre (NCSC) rief Organisationen dazu auf, sämtliche im Einsatz befindlichen PHP-Umgebungen sofort zu inventarisieren und Patches unmittelbar nach Veröffentlichung einzuspielen. Wo eine sofortige Behebung nicht möglich ist, empfahl das NCSC, gefährdete Systeme vorübergehend vom Netz zu nehmen.

Auf Netzwerkebene reagierten kommerzielle Anbieter. Cloudflare CTO Dane Knecht bestätigte auf X, dass das Unternehmen bereits erste WAF-Regeln (Web Application Firewall) im Managed-Ruleset bereitgestellt hat, um bekannte Angriffsmethoden von PHP2Shell abzuwehren, wie BleepingComputer berichtet. Dennoch warnte PHP-Core-Entwickler Gina Peter Banyard auf Mastodon, dass es keine universellen Workarounds gibt und das Einspielen der offiziellen Patches die einzig wirksame Lösung darstellt.

Mehr zu dieser Geschichte: PHP: Kritische Sicherheitslücke gefährdet Millionen Webseiten