PHP-Sicherheitslücken CVE-2026-109618 und CVE-2026-109619: was Unternehmen jetzt tun sollten

Die kurze Antwort: Das PHP-Team hat für heute, Mittwoch, 21. Oktober 2026, um 16 Uhr deutscher Zeit (14:00 UTC) ein Sicherheitsupdate angekündigt, das zwei kritische Lücken schließt. Beide bewertet das PHP-Team mit CVSS 4.0 9,2. Laut den Sicherheitsfirmen watchTowr und Beazley Security handelt es sich um Lücken zur Remotecodeausführung mit den Nummern CVE-2026-109618 und CVE-2026-109619: Ein Angreifer könnte damit eigenen Code auf einem Server ausführen, der PHP verwendet. Welche Versionen betroffen sind, veröffentlicht PHP erst mit dem Update. Angriffe sind bisher nicht bekannt. Wer Websites, Online-Shops oder Webanwendungen mit PHP betreibt oder betreiben lässt, klärt heute, wer das Update am Nachmittag einspielt. Stand: 21. Oktober 2026, 9 Uhr. Wir aktualisieren diesen Beitrag, sobald die Updates erschienen sind.

Was bisher bekannt ist

Offiziell vom PHP-Team. Am 20. Oktober 2026 hat das PHP-Sicherheitsteam auf php.net ein „Upcoming Critical PHP Security Release“ angekündigt: Das Update erscheint am 21. Oktober 2026 um 14:00 UTC und behebt zwei kritische Schwachstellen, beide mit CVSS 4.0 9,2. Alle PHP-Nutzer sollen sich vorbereiten, um sofort aktualisieren zu können. Das Team behält sich vor, früher zu veröffentlichen, wenn Details zu einer der Lücken öffentlich werden oder Angriffe auftauchen. Alle Einzelheiten, die betroffenen Versionen und die korrigierten Versionen veröffentlicht PHP erst mit dem Update. Aktuell sind auf php.net die Versionen 8.5.11, 8.4.26, 8.3.35 und 8.2.34; sie enthalten die Korrekturen laut Beazley Security noch nicht.

Die CVE-Nummern. CVE-2026-109618 und CVE-2026-109619 nennt die Sicherheitsfirma watchTowr gegenüber BleepingComputer. Bei der CVE-Stelle sind beide Nummern bisher nur reserviert, Beschreibungen gibt es dort noch nicht (Stand 21. Oktober 2026).

Was Sicherheitsfirmen berichten. Laut watchTowr handelt es sich um Lücken zur Remotecodeausführung; die Firma gibt an, eine der beiden Lücken nachgestellt zu haben, und hält technische Einzelheiten bis zum Update zurück. Veröffentlicht werden sollten die Lücken laut watchTowr eigentlich erst am Donnerstag; Informationen dazu sind am 20. Oktober vorab durchgesickert. Zu den betroffenen Versionen gibt es bisher nur Berichte: watchTowr und Beazley Security nennen alle Versionen ab PHP 5, Sansec nennt alle Server mit PHP ab Version 5.4. Bestätigt hat PHP das nicht.

Werden die Lücken schon ausgenutzt? Laut watchTowr und Beazley Security sind bisher keine Angriffe bekannt (Stand 21. Oktober 2026). Sansec erwartet allerdings, dass Angriffe in großem Umfang kurz nach der Veröffentlichung beginnen.

Wer betroffen sein kann

PHP ist die Programmiersprache hinter einem großen Teil der Websites und Webanwendungen. Beazley Security nennt WordPress, Drupal, Magento und die meisten Angebote für geteiltes Webhosting, Sansec zusätzlich Shopware und WooCommerce. Für Unternehmen heißt das: die eigene Website, der Online-Shop, ein Kundenportal, aber auch interne Werkzeuge wie ein Intranet oder eine Zeiterfassung im Browser können PHP verwenden. Dazu kommen Cloud-Dienste, die Ihr Unternehmen nutzt: Auch deren Anbieter müssen aktualisieren, manche nehmen ihre Dienste bis dahin vorsorglich vom Netz.

Wichtig: Die Lücken stecken laut den Berichten in PHP selbst, nicht in WordPress, im Shop-System oder in einem Plugin. Ein Update der Website-Software hilft deshalb nicht. Aktualisiert werden muss PHP auf dem Server, und das macht derjenige, der den Server betreibt.

Was Unternehmen jetzt tun sollten

1. Bestandsaufnahme machen. Listen Sie auf, welche Websites, Shops, Portale und internen Anwendungen mit PHP laufen und wer den Server jeweils betreibt: Sie selbst, Ihr Webhoster, eine Agentur oder ein Dienstleister.
2. Den Hoster heute fragen. Bei Webhosting spielt der Hoster das PHP-Update ein. Fragen Sie heute nach, ob er das Update direkt nach der Veröffentlichung um 16 Uhr installiert, und lassen Sie sich die Installation bestätigen.
3. Eigene Server vorbereiten. Wer Server selbst betreibt, prüft jetzt die PHP-Version, etwa mit dem Befehl php -v, plant ein Wartungsfenster für heute Nachmittag und beobachtet, wann die eigene Linux-Distribution die korrigierten Pakete bereitstellt.
4. Alte PHP-Versionen ernst nehmen. Laut Sansec unterstützt PHP nur noch die Versionen ab 8.2. Wer noch PHP 8.1 oder älter einsetzt, bekommt voraussichtlich keine offizielle Korrektur und sollte mit dem Hoster über die Umstellung auf eine unterstützte Version sprechen.
5. Interne Anwendungen abschirmen. PHP-Anwendungen, die nicht öffentlich erreichbar sein müssen, macht man bis zum Update nur aus dem Firmennetz oder über VPN erreichbar. Das empfiehlt Beazley Security als Übergangslösung.
6. Nach dem Update prüfen. Kontrollieren Sie, ob die neue PHP-Version wirklich läuft, und behalten Sie in den Tagen danach die Protokolle und ungewöhnliche Dateien auf dem Webserver im Blick. Eine geprüfte Datensicherung gehört ohnehin dazu.

Was CVSS 9,2 bedeutet

Mit dem Common Vulnerability Scoring System (CVSS) bewerten Hersteller, wie schwer eine Lücke wiegt, auf einer Skala von 0 bis 10. Werte ab 9,0 gelten als kritisch. Bei Lücken zur Remotecodeausführung auf Webservern ist das Risiko besonders hoch, weil Websites aus dem Internet erreichbar sein müssen und Angreifer Server automatisiert nach verwundbaren Versionen absuchen. Genau deshalb kommt es bei diesen Lücken auf die ersten Stunden nach dem Update an.

So bleiben Sie auf dem Laufenden

Mit der Veröffentlichung am Nachmittag nennt PHP die betroffenen und die korrigierten Versionen. Wir ergänzen sie hier, sobald sie vorliegen. Für Server, die Sie selbst betreuen, gehört so ein Update in einen festen Ablauf: Monitoring und Patchmanagement sorgt dafür, dass Updates gesteuert eingespielt und Ausreißer sichtbar werden. Was zu tun ist, falls doch etwas passiert, steht im IT-Notfallplan.

Häufige Fragen

Wann kommt das Update für CVE-2026-109618 und CVE-2026-109619?

Das PHP-Team hat das Update für Mittwoch, den 21. Oktober 2026, um 14:00 UTC angekündigt, das ist 16 Uhr deutscher Zeit. Es behält sich vor, früher zu veröffentlichen, wenn Details zu den Lücken öffentlich werden oder Angriffe auftauchen.

Welche PHP-Versionen sind betroffen?

Offiziell noch offen: PHP nennt die betroffenen und die korrigierten Versionen erst mit dem Update. Laut watchTowr und Beazley Security sind alle Versionen ab PHP 5 betroffen, Sansec nennt alle Server mit PHP ab Version 5.4. Die aktuellen Versionen 8.5.11, 8.4.26, 8.3.35 und 8.2.34 enthalten die Korrekturen laut Beazley Security noch nicht.

Werden die Lücken schon ausgenutzt?

Laut watchTowr und Beazley Security sind bisher keine Angriffe bekannt (Stand 21. Oktober 2026). Weil Informationen vorab durchgesickert sind, rechnet Sansec mit Angriffen kurz nach der Veröffentlichung des Updates.

Muss ich bei WordPress oder meinem Online-Shop etwas tun?

Die Lücken stecken laut den Berichten in PHP selbst, nicht in WordPress, im Shop-System oder in Plugins. Aktualisiert werden muss PHP auf dem Server. Bei Webhosting macht das der Hoster; fragen Sie dort heute nach, wann das Update installiert wird.

Was ist mit PHP 8.1 und älteren Versionen?

Laut Sansec unterstützt PHP nur noch die Versionen ab 8.2, für PHP 8.1 und älter ist keine offizielle Korrektur zu erwarten. PHP 5 und PHP 7 werden seit Jahren nicht mehr gepflegt. Wer solche Versionen einsetzt, sollte mit dem Hoster über die Umstellung auf eine unterstützte Version sprechen.

So unterstützt Sie die High5Manufaktur GmbH

Die High5Manufaktur GmbH betreut kleine und mittlere Unternehmen im Raum Karlsruhe und bundesweit. Wir prüfen mit Ihnen, wo in Ihrem Unternehmen PHP läuft, stimmen das Update mit Ihrem Hoster oder Dienstleister ab und kontrollieren danach, ob die korrigierte Version installiert ist. Im kostenlosen Erstgespräch klären wir, wo Ihre Umgebung steht.

Quellen

• PHP: Upcoming Critical PHP Security Release, 20.10.2026
• BleepingComputer: PHP warns admins of two critical flaws, emergency patches coming tomorrow
• watchTowr: Frequently Asked Questions About PHP Remote Code Execution (CVE-2026-109618 & CVE-2026-109619)
• Beazley Security: Critical Remote Code Execution Vulnerabilities in PHP (CVE-2026-109618 & CVE-2026-109619)
• Sansec: Critical PHP RCE: CVE-2026-109618 and CVE-2026-109619
• CVE: CVE-2026-109618
• CVE: CVE-2026-109619