Was ist passiert
Das PHP-Projekt hat heute zwei kritische Sicherheitslücken veröffentlicht. Beide sind mit CVSS v4.0 9.2 bewertet und erlauben unter bestimmten Bedingungen das Ausführen von Code aus dem Netz, ohne Anmeldung und bevor Ihre Anwendung überhaupt startet.
- CVE-2026-109618: Remote Code Execution über fehlerhafte Speicherbehandlung
- CVE-2026-109619: Remote Code Execution über fortbestehenden Zustand zwischen Anfragen
Behoben sind sie in PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35. Das PHP-Projekt schreibt ausdrücklich, dass es ausser dem Aktualisieren keine vollständige Abhilfe gibt.
Wenn Sie PHP 8.2 bis 8.5 nutzen
Sie müssen nichts tun. Wir aktualisieren PHP zentral auf allen betroffenen Systemen.
Die Hersteller der Verwaltungsoberflächen haben die Korrekturen vom PHP-Projekt im Voraus erhalten. Wir spielen sie ein, sobald die Pakete von cPanel (EasyApache 4) beziehungsweise DirectAdmin (CustomBuild) verfügbar sind. Wir rechnen kurzfristig damit und prüfen laufend.
Beim Einspielen werden die PHP-Prozesse neu gestartet. Einzelne laufende Anfragen können dabei abbrechen. Ihre Website und Ihre Daten sind davon nicht betroffen.
Wenn Sie PHP 8.1 oder älter nutzen
Diese Versionen müssen wir abschalten. Betroffen sind PHP 8.1, 8.0, 7.4 und alles darunter, und das betrifft viele unserer Kunden.
Für diese Versionen liefert das PHP-Projekt keine Aktualisierungen mehr. Sie bleiben also offen, und auf einem gemeinsam genutzten Server lässt sich das nicht aussitzen. Auf Servern mit mod_php teilen alle Websites denselben Prozess. Die zweite Lücke lässt Daten einer Anfrage über deren Ende hinaus bestehen und von einer späteren Anfrage im selben Prozess weiterverwenden, und diese spätere Anfrage kann zu einer anderen Website gehören. Eine ungepatchte alte PHP-Version gefährdet damit nicht nur die eigene Website, sondern alle anderen auf demselben Server. Deshalb können wir alte Versionen nicht weiterlaufen lassen, solange keine Korrektur vorliegt.
Abschaltung: Freitag, 23. Oktober 2026, 9:00 Uhr
Das sind 40 Stunden ab dieser Mitteilung. Websites, die danach noch auf PHP 8.1 oder älter stehen, führen kein PHP mehr aus.
Eine Ausnahme: sollten für eine dieser Versionen korrigierte Pakete erscheinen, spielen wir diese ein, und die Abschaltung dieser Version entfällt. Für 7.4, 8.0 und 8.1 hat das PHP-Projekt angesichts der Schwere ausnahmsweise minimale Korrekturen bereitgestellt. Wir prüfen laufend und halten Sie an dieser Stelle auf dem Laufenden.
Was Sie jetzt tun sollten
Wechseln Sie auf PHP 8.3, 8.4 oder 8.5. Das können Sie selbst erledigen:
- cPanel: MultiPHP Manager, Domain auswählen, PHP-Version setzen
- DirectAdmin: Domain Setup, Domain auswählen, PHP-Version setzen
Prüfen Sie Ihre Website danach. Läuft sie, sind Sie fertig und sicher.
Bitte beachten Sie: PHP 8.2 erreicht am 31. Dezember 2026 sein Lebensende. Wer jetzt ohnehin wechselt, sollte gleich auf 8.4 oder 8.5 gehen und sich den nächsten Wechsel sparen.
Ihre Website läuft auf einer neueren Version nicht mehr?
Melden Sie sich bei uns. Das ist bei älteren Anwendungen normal und kein Grund zur Sorge. Wir sehen es gemeinsam an, finden heraus, was angepasst werden muss, und begleiten den Wechsel. Melden Sie sich bitte eher früher als später, damit wir Zeit haben, Ihnen zu helfen.
Weiterführend: Sicherheitshinweis des PHP-Projekts
