PHP - CVE-2026-109618
Zuletzt aktualisiert: 21.10.2026 - 19:04 Uhr (CEST)
Betroffene CVE’s
Bei den Sicherheitslücken (CVE-2026-109618 und CVE-2026-109619) handelt es sich um kritische Sicherheitslücken, durch die ein Angreifer weitreichenden Zugriff zum Server erlangen kann.
Seitens des Softwareherstellers (PHP) wurden am 21.10.2026, um 16.00 Uhr entsprechende Sicherheitsupdates bereitgestellt, die die Sicherheitslücke für aktuelle PHP-Versionen schließen.
Betroffene PHP-Versionen
| PHP-Branch | Behobene Version |
|---|---|
< 7.4 | ⚠️ Es wird kein Sicherheitsupdate bereitgestellt |
7.4 | ⚠️ Es wird kein Sicherheitsupdate bereitgestellt |
8.0 | ⚠️ Es wird kein Sicherheitsupdate bereitgestellt |
8.1 | ⚠️ Es wird kein Sicherheitsupdate bereitgestellt |
8.2 | ✅ 8.2.35 |
8.3 | ✅ 8.3.36 |
8.4 | ✅ 8.4.27 |
8.5 | ✅ 8.5.12 |
Was ist für Sie zu beachten?
Server im Support-Level "Managed"
Für alle Server im Support-Level "Managed" wurden die erforderlichen Updates bereits für PHP 8.2, 8.3, 8.4 und 8.5 installiert.
Sofern Ihre Webseiten mindestens PHP 8.2 einsetzen, sind keine weiteren Schritte durch Sie erforderlich.
Sofern Sie noch eine PHP-Version verwenden, die kein Sicherheitsupdate erhalten hat, empfehlen wir Ihnen dringend, die Kompatibilität Ihrer Webanwendung zu mindestens PHP 8.2 sicherzustellen.
Server im Support-Level "Unmanaged"
Sofern Sie betroffene Server im Support-Level "Unmanaged" betreiben, empfehlen wir Ihnen hier schnellstmöglich die Sicherheitsupdates zu installieren, um Ihre Applikationen und die damit verbundenen Daten zu schützen.
Informationen des Herstellers dazu finden Sie hier: https://www.php.net/archive/2026.php#2026-10-20-1
Mögliche Probleme bei der Bereitstellung der Updates
Bitte beachten Sie, dass aufgrund der extrem hohen Anzahl an betroffenen Webauftritten weltweit die Möglichkeit besteht, dass die offiziellen Repository-Server unter Umständen langsamer als gewöhnlich oder temporär aufgrund der hohen Last gar nicht mehr reagieren.
Unabhängig davon enthalten unsere APT-Spiegelserver bereits die erforderlichen Updates und können somit uneingeschränkt eingesetzt werden.
creoline PHP Mirror (Ubuntu + Debian):
https://mirror.creoline.net/php/Sie finden alle Informationen zur Einbindung unserer Repository-Server hier:
https://help.creoline.com/de/doc/apt-repositories-11fsvs6vsI#php
Häufig gestellte Fragen
Entsteht durch die Bereitstellung des PHP-Updates eine Downtime?
Nein, durch die Bereitstellung der PHP-Updates ist keine Downtime zu erwarten.
Befindet sich mein Server im Support-Level „Managed“ oder „Unmanaged“?
Das Support-Level Ihres Servers können Sie in der Serverübersicht einsehen. Managed Server werden mit einem grünen Haken markiert. Zusätzlich steht die Information in der Serverdetailansicht.