PHP-Sicherheitsupdate am 21. Oktober 2026: Was Unternehmen jetzt tun sollten

Stand: 21. Oktober 2026, 9:30 Uhr, vor Veröffentlichung des Sicherheitsupdates. Wir aktualisieren diesen Beitrag, sobald das PHP-Projekt die betroffenen und reparierten Versionen offiziell bestätigt.

PHP ist die Grundlage für einen großen Teil aller Webanwendungen: Unternehmenswebsites mit WordPress, Onlineshops mit Shopware, WooCommerce oder Magento, Kundenportale und individuell entwickelte Fachanwendungen. Am 20. Oktober 2026 hat das PHP-Sicherheitsteam ein kurzfristiges Sicherheitsupdate für zwei kritische Lücken angekündigt. Fast gleichzeitig sind erste Informationen zu den Schwachstellen vorzeitig an die Öffentlichkeit gelangt. Dieser Beitrag fasst zusammen, was offiziell bestätigt ist, was bisher nur berichtet wird und was Sie als Unternehmen jetzt konkret tun sollten.

Was hat das PHP-Sicherheitsteam angekündigt?

Offiziell bestätigt (php.net, 20. Oktober 2026):

• Das Sicherheitsupdate erscheint am Mittwoch, 21. Oktober 2026, um 14:00 Uhr UTC.
• Es behebt zwei kritische Schwachstellen, beide mit CVSS v4.0 9.2 bewertet.
• Das Team behält sich vor, früher zu veröffentlichen, falls Details öffentlich werden oder aktive Angriffe auftauchen.
• Betroffene Versionen, reparierte Versionen und technische Details werden erst mit dem Release veröffentlicht.

Eine Vorankündigung mit festem Termin ist für das PHP-Projekt ungewöhnlich. Sie zeigt, wie ernst das Sicherheitsteam die Lage nimmt: Betreiber sollen sich vorbereiten können, damit zwischen Veröffentlichung und Update möglichst wenig Zeit vergeht.

Was ist über CVE-2026-109618 und CVE-2026-109619 bekannt?

Laut Berichten von Sicherheitsfirmen, nicht offiziell bestätigt:

• Die beiden Lücken tragen die Kennungen CVE-2026-109618 und CVE-2026-109619. Die CVE-Einträge sind reserviert, aber noch nicht veröffentlicht.
• Es handelt sich um Remote Code Execution (RCE) im PHP-Kern. Ein Angreifer könnte also aus der Ferne eigene Befehle auf Ihrem Server ausführen.
• Informationen zu den Lücken sind am 20. Oktober vor Ablauf der Sperrfrist durchgesickert. Im Umlauf ist dabei der Name "php2shell".
• Die Sicherheitsfirma watchTowr hat bestätigt, dass die Lücken echt sind, und gibt an, CVE-2026-109618 im Labor nachgestellt zu haben.
• In sozialen Netzwerken kursiert eine Bewertung von CVSS 10.0. Die offizielle Bewertung des PHP-Teams lautet 9.2.
• Angriffe in freier Wildbahn sind bisher nicht bestätigt. Die Sicherheitsfirma Sansec erwartet jedoch Massenangriffe innerhalb von Minuten nach der Veröffentlichung.

Wichtig für die Einordnung: Die Lücke liegt in PHP selbst, also unterhalb Ihrer Anwendung. Ein sauber programmierter Shop oder ein aktuelles WordPress schützt hier nicht. Die Lösung ist ein Update von PHP auf dem Server, nicht ein Update Ihres CMS oder Ihrer Plugins.

Welche PHP-Versionen sind betroffen und welche erhalten einen Fix?

Das PHP-Projekt hat die Liste noch nicht veröffentlicht. Berichten zufolge sind alle Versionen ab PHP 5 betroffen, einschließlich der aktuellen Versionen 8.5.11, 8.4.26, 8.3.35 und 8.2.34. Sicherheitsupdates erhalten nach den Regeln des PHP-Projekts nur die offiziell unterstützten Versionszweige 8.2 bis 8.5. Die erwarteten Versionsnummern der Fixes stammen bisher aus einer einzelnen Quelle und sind unbestätigt.

Eine Ausnahme sind Linux-Distributionen wie Debian, Ubuntu oder Red Hat Enterprise Linux. Sie spielen Sicherheitskorrekturen teilweise in ihre eigenen, älteren PHP-Pakete zurück. Die Versionsnummer allein sagt dann wenig. Entscheidend ist, ob Ihre Distribution oder Ihr Hoster ein Sicherheitsupdate für genau Ihr Paket bereitstellt.

Wie funktioniert der Angriff vermutlich?

Offizielle technische Details gibt es noch nicht. Ein unbestätigter Bericht beschreibt zwei Speicherfehler (sogenannte Use-after-free-Fehler) in der Verarbeitung von Datei-Uploads: einen im Modul für den Upload-Fortschritt von Sitzungen (session.upload_progress) und einen im Parser für multipart/form-data-Anfragen. Das ist das Format, in dem Browser Formulare mit Dateianhängen senden.

Trifft das zu, wäre das aus zwei Gründen besonders ernst. Erstens verarbeitet PHP solche Anfragen, bevor Ihre Anwendung überhaupt beteiligt ist. Zweitens wäre die Lücke in der Standardkonfiguration erreichbar, ohne Anmeldung und auf jeder Seite, nicht nur auf Seiten mit Upload-Formular. Ob diese Beschreibung zu den beiden CVEs passt, ist noch nicht bestätigt.

Welche Sofortmaßnahmen helfen bis zum Patch?

Keine der folgenden Maßnahmen ersetzt das Update. Sie verringern das Risiko in den Stunden bis zum Patch und sind vor allem für Systeme gedacht, die nicht sofort aktualisiert werden können.

1. Upload-Fortschritt abschalten. Wenn Ihre Anwendung keinen Upload-Fortschrittsbalken über PHP-Sitzungen nutzt (das ist selten), können Sie die Funktion deaktivieren. Das schließt höchstens einen der vermuteten Angriffswege.

   ; php.ini oder .user.ini
   session.upload_progress.enabled = Off

   Danach PHP-FPM bzw. den Webserver neu laden und mit php -i | grep upload_progress oder phpinfo() prüfen, ob der Wert übernommen wurde.
2. Multipart-Anfragen begrenzen. In einer Web Application Firewall oder im Reverse Proxy (nginx, Apache, Cloudflare) können multipart/form-data-Anfragen an Adressen blockiert werden, die gar keine Uploads annehmen.
3. Ungenutztes abschalten. Nicht benötigte PHP-Einstiegspunkte, alte Testinstallationen, php-cgi und vergessene Admin-Tools vom Netz nehmen.
4. Veraltete Systeme abschotten. Server mit PHP 8.1 oder älter, die nicht sofort aktualisiert werden können, hinter ein VPN oder eine IP-Freigabeliste stellen oder vorübergehend offline nehmen.
5. Backup und Wartungsfenster. Ein aktuelles, wiederherstellbares Backup anlegen und für den Nachmittag des 21. Oktober ein Wartungsfenster einplanen.

Wie Sie PHP darüber hinaus für den Produktivbetrieb absichern, beschreiben wir im Beitrag PHP-Sicherheitseinstellungen für die Produktivumgebung.

Was sollten Sie jetzt vorbereiten?

1. Bestandsaufnahme. Wo läuft überall PHP? Webserver, Docker-Images, CI-Pipelines, Shared Hosting, Testsysteme, aber auch Appliances und Software von Drittanbietern, die PHP mitbringen. Notieren Sie zu jedem System Version und Betriebsart (PHP-FPM, mod_php, php-cgi).
2. Zuständigkeit klären. Wer spielt das Update ein: Ihr Hoster, Ihre IT oder Ihr Dienstleister? Fragen Sie bei Managed Hosting heute nach, wann das Update eingespielt wird.
3. Unterstützte Version prüfen. Läuft Ihr System auf PHP 8.2 bis 8.5, genügt das Sicherheitsupdate. Bei 8.1 oder älter brauchen Sie ein Versionsupgrade.
4. Test nach dem Update. Legen Sie fest, welche Abläufe nach dem Update geprüft werden: Login, Kontaktformular, Bestellung, Zahlung, Schnittstellen.
5. Überwachung danach. Auch nach dem Patch einige Tage auf Auffälligkeiten achten (siehe nächster Abschnitt). Ein vor dem Patch eingeschleuster Zugang bleibt sonst bestehen.

Woran erkennen Sie einen Angriff?

Signaturen oder Indikatoren gibt es noch nicht. Sicherheitsfirmen empfehlen, auf typisches Verhalten nach einer erfolgreichen Codeausführung zu achten:

• PHP-FPM- oder Webserver-Prozesse starten Shells oder Werkzeuge wie sh, bash, curl, wget, nc oder python.
• Befehlszeilen mit typischen Mustern für Fernzugriffe, etwa /dev/tcp/ oder mkfifo, oder Erkundungsbefehle wie whoami, id und uname -a.
• Neue oder veränderte PHP-Dateien im Webverzeichnis, besonders einzelne, verschleierte Skripte (Webshells).
• Abstürze oder Neustarts von PHP-FPM-Prozessen, die zeitlich mit Upload-Anfragen zusammenfallen.
• Neue Cronjobs, Benutzerkonten oder ausgehende Verbindungen zu unbekannten Zielen.

Bei einem Verdacht: Server vom Netz isolieren, Webserver- und PHP-Logs sichern und nichts überschreiben, Webverzeichnis auf neue Dateien prüfen und Zugangsdaten erneuern. Erst danach neu aufsetzen oder bereinigen.

Wie viele Server sind betroffen?

Eine Auswertung von Mallory auf Basis von Shodan-Daten vom 20. Oktober 2026 zählt rund 1,5 Millionen Server im Internet, die ihre PHP-Version offen anzeigen. Etwa 59 Prozent davon laufen auf einer Version, für die kein offizieller Fix erscheinen wird. Für Deutschland nennt die Auswertung 45.835 von 111.751 Servern (41 Prozent). Rund 740.000 weitere Server verbergen ihre Version, die tatsächliche Zahl dürfte also höher liegen.

Für ein einzelnes Unternehmen heißt das: Automatisierte Scanner finden verwundbare Server schnell und ohne gezielte Auswahl. Klein oder unbekannt zu sein, schützt nicht.

Was gilt für veraltete PHP-Versionen?

Diese Sicherheitslücke zeigt, warum veraltete PHP-Versionen ein Geschäftsrisiko sind und nicht nur ein technisches Detail. Solange eine Version unterstützt wird, ist ein solcher Vorfall mit einem Update in einer Stunde erledigt. Ohne Support bleibt nur die Migration, und die lässt sich nicht an einem Nachmittag erledigen. Was ein Umstieg typischerweise kostet, beschreiben wir im Beitrag PHP 7 auf PHP 8 migrieren: Aufwand und Kosten. Wer auf PHP 8.2 läuft, sollte das Supportende am 31. Dezember 2026 im Blick behalten. Mehr dazu im Beitrag PHP 8.6: Was Unternehmen vor dem Update klären sollten.

Wie unterstützt Ucar Solutions beim PHP-Sicherheitsupdate?

• Notfall-Update am Release-Tag: Wir spielen das Sicherheitsupdate auf Ihren Servern oder Containern ein und testen die geschäftskritischen Abläufe.
• Versions- und Sicherheitscheck: Wir finden heraus, wo PHP bei Ihnen läuft, welche Versionen im Einsatz sind und ob es Anzeichen für einen Angriff gibt.
• Upgrade auf eine unterstützte Version: Migration von PHP 7, 8.0 oder 8.1 auf PHP 8.4 oder 8.5, einschließlich Framework, Abhängigkeiten und Tests. Mehr zu unserer Backend-Entwicklung.
• Laufende Wartung: Damit der nächste Sicherheitsfall kein Notfall wird, übernehmen wir Hosting, Betreuung und Updates dauerhaft. Was das ungefähr kostet, zeigt unser Wartungskosten-Rechner, die Pakete finden Sie unter Preise.

Häufige Fragen

Fazit

Zwei kritische Lücken im PHP-Kern, ein vorzeitiges Leck und ein fester Termin: Das ist eine der ernstesten PHP-Sicherheitslagen der letzten Jahre. Für Systeme auf PHP 8.2 bis 8.5 ist die Lösung einfach: Update am 21. Oktober einspielen, Anwendung testen, ein paar Tage genauer hinschauen. Für ältere Versionen ist diese Woche der Anlass, das aufgeschobene Upgrade endlich anzugehen.

Sie möchten das nicht selbst übernehmen? Schreiben Sie uns oder buchen Sie ein kostenloses Erstgespräch.

Quellen (Stand 21. Oktober 2026): Ankündigung "Upcoming Critical PHP Security Release" auf php.net, Unterstützte PHP-Versionen, Sansec, Huntress, Beazley Security, Phoenix Security, Mallory, Help Net Security.