PHP-Sicherheitslücke CVE-2026-109618 und CVE-2026-109619

PHP, die Programmiersprache, auf der ein großer Teil des Webs basiert, hat am Mittwoch, dem 21. Oktober 2026, um 16:00 Uhr MESZ (14:00 UTC) ein dringendes Sicherheitsupdate für zwei kritische Schwachstellen veröffentlicht. Wenn auf Ihrem Server, Ihrer Website oder Ihrer Webanwendung PHP läuft, sollten Sie so bald wie möglich aktualisieren. Dieser Artikel erklärt, was passiert ist und was Sie tun sollten.

Hinweis: Die Sicherheitslücken betreffen die Open-Source-Sprache PHP und damit Hosting-Anbieter branchenweit. Sie sind kein spezielles Problem von DomainFactory

Das PHP-Sicherheitsteam hat Korrekturen für zwei Schwachstellen veröffentlicht. Beide werden als kritisch eingestuft und haben eine Bewertung von 9,2 nach CVSS v4.0. Es handelt sich um Schwachstellen zur Remotecodeausführung. Sie werden unter den Kennungen CVE-2026-109618 und CVE-2026-109619 geführt. Eine solche Sicherheitslücke könnte es Angreifenden ermöglichen, über das Internet eigenen Code auf einem betroffenen Server auszuführen. Mögliche Folgen sind gestohlene Daten, eine manipulierte Website oder die vollständige Übernahme des Servers.

Laut PHP sind die Versionen 8.5, 8.4, 8.3 und 8.2 sowie ältere, nicht mehr unterstützte Versionen betroffen. Behoben wurden die Schwachstellen in PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35. Ausführliche technische Informationen finden Sie in der Sicherheitsmitteilung von PHP.

Wenn Sie PHP verwenden, könnten Sie betroffen sein. Welche Maßnahmen Sie ergreifen müssen, hängt davon ab, wo Ihre Website gehostet wird.

• ManagedHosting, ResellerHosting, Managed Cloud Server and Reseller Server: Die Patches werden derzeit auf allen betroffenen Systemen ausgerollt und aktiviert.
• Tarife mit LegacyPHP Add-On: Auch PHP-Versionen unter 8.2 erhalten die entsprechenden Sicherheitskorrekturen per Backport. Das bedeutet, dass die Korrekturen auch in diese älteren PHP-Versionen integriert werden
• ManagedWordPress: Wir haben alle PHP-Versionen aktualisiert. Sie müssen nichts weiter unternehmen.
• Webhosting: Wir haben die korrigierten PHP-Pakete von unserem Anbieter erhalten und spielen sie derzeit auf allen Webhosting-Servern ein. Bis die Verteilung abgeschlossen ist, bleiben Schutzmaßnahmen aktiv. Sie müssen nichts weiter unternehmen.
• VPS: Da Sie die Software Ihres Servers selbst verwalten, müssen Sie PHP selbst aktualisieren. Die nachfolgenden Schritte helfen Ihnen dabei. Alternativ kann unser Expert-Services-Team das Update für Sie durchführen.
• Hosting bei einem anderen Anbieter: Erkundigen Sie sich bei Ihrem Anbieter. Lesen Sie dazu zuerst Status-Seiten, FAQ und ggf. E-Mail Benachrichtigungen. Wenn Sie Ihren Server selbst verwalten, folgen Sie den nachstehenden Anweisungen.

• Websites und Anwendungen mit PHP: Dazu gehören unter anderem WordPress, WooCommerce, Drupal, Joomla, Magento und Laravel. Gehen Sie davon aus, dass sie betroffen sind, bis Sie auf eine korrigierte Version aktualisiert haben.
• Websites mit PHP 8.1 oder älter: PHP unterstützt diese Versionen nicht mehr und wird dafür keine offiziellen Korrekturen veröffentlichen. Einige Anbieter haben die Korrektur jedoch zurückportiert, darunter cPanel mit seinen EasyApache-4-Paketen für PHP 7.4, 8.0 und 8.1. Planen Sie trotzdem den Umstieg auf eine unterstützte Version – also PHP 8.2 oder neuer.

Wie im Abschnitt „Sobald die Korrektur verfügbar ist“ beschrieben, müssen Sie im Wesentlichen:

1. PHP auf die korrigierte Version Ihrer Versionsreihe aktualisieren.
2. Bei selbst verwalteten Servern PHP und den Webserver neu starten, damit das Update wirksam wird.
3. Prüfen, ob Ihre Website mit der aktualisierten Version läuft.

PHP veröffentlicht die Korrektur zuerst. Betriebssystemanbieter, Control Panels und Hosting-Anbieter stellen ihre eigenen Updates anschließend nach ihrem jeweiligen Zeitplan bereit. Den aktuellen Stand finden Sie hier:

• Sicherheitsmitteilung von PHP
• Änderungsprotokoll von cPanel EasyApache 4
• Hintergrundbericht von Ars Technica
• Hinweise für WordPress-Websites von Wordfence

PHP hat in seiner Sicherheitsmitteilung vorübergehende Schutzmaßnahmen für beide Schwachstellen veröffentlicht. PHP bezeichnet diese Maßnahmen als unvollständig. Vollständigen Schutz bietet nur die Installation der korrigierten Version. Während Sie sich auf das Update vorbereiten:

1. Ermitteln Sie alle Websites und Server, auf denen Sie PHP einsetzen. Notieren Sie, welche PHP-Version jeweils verwendet wird.
2. Prüfen Sie die von PHP veröffentlichten Schutzmaßnahmen. Einige davon ändern PHP-Einstellungen, die sich auf die Funktion Ihrer Website auswirken können, zum Beispiel auf Upload-Limits oder Fortschrittsanzeigen beim Hochladen von Dateien. Testen Sie Ihre Website nach jeder Änderung.
3. Aktivieren Sie automatische Updates, sofern diese verfügbar sind, damit die Korrektur Ihr System möglichst schnell erreicht.
4. Erstellen Sie vor dem Update ein Backup oder einen Snapshot Ihrer Website, damit Sie bei Problemen zum vorherigen Stand zurückkehren können.

Erstellen Sie zuerst ein Backup und aktualisieren Sie PHP anschließend auf die korrigierte Version Ihrer Versionsreihe.

• PHP-Version in cPanel ändern
• PHP-Version in Plesk ändern
• Wenn Sie cPanel/WHM auf einem VPS einsetzen, installieren Sie die aktualisierten ea-php -Pakete über EasyApache 4 in WHM. Weitere Informationen finden Sie im Änderungsprotokoll von cPanel EasyApache 4.

Prüfen Sie nach dem Update Ihre PHP-Version.

In WordPress finden Sie die Versionsangabe außerdem unter „Werkzeuge“ > „Website-Zustand“ > „Bericht“ > „Server“.

Vergleichen Sie die installierte Version mit den nachfolgend aufgeführten korrigierten Versionen. Wenn Ihre Website mit der jeweiligen Version oder einer neueren läuft, ist sie geschützt. Falls Sie mehrere PHP-Versionen einsetzen, prüfen Sie jede einzeln.