Zwei kritische PHP-Lücken mit CVSS 9,2 sind vor der koordinierten Veröffentlichung durchgesickert. PHP plant die Patches für den 21. Oktober 2026 um 16:00 Uhr Schweizer Zeit. Sicherheitsfirmen erwarten rasche Massenangriffe nach dem Release. Admins sollten Inventar, Backup und Wartungsfenster vorbereiten.
Zwei kritische PHP-Lücken mit CVSS 9,2 sollen am 21. Oktober 2026 um 16:00 Uhr Schweizer Zeit Patches erhalten. Die Details sind vorab durchgesickert. Admins sollten Inventar, Backup und Wartungsfenster jetzt bereithalten.
Das Wichtigste in Kürze
- Zwei kritische Lücken: CVE-2026-109618 und CVE-2026-109619 erreichen je 9,2 auf der Skala CVSS 4.0. Sie können Code aus der Ferne auslösen, laut CERT-EU ohne Anmeldung.
- Patch am 21. Oktober: PHP plant die Korrekturen für 14:00 UTC, in der Schweiz 16:00 Uhr. Der Termin kann vorrücken.
- Angriffe drohen: Sansec erwartet Massenangriffe innert 15 Minuten nach dem Release. Cloudflare spricht von ersten Angriffen.
- Vieles ist unbestätigt: Betroffene Versionen und die technische Ursache sind offiziell noch offen.
Was über PHP2Shell und die Lücken bekannt ist
PHP hat die Patches laut SecurityWeek am Dienstag, 20. Oktober 2026, angekündigt. Root.cz hat seinen Bericht zuletzt am 21. Oktober 2026 um 9:57 Uhr aktualisiert. Dieser Beitrag gibt den Stand dieses Tages wieder.
Im Netz kursiert ein Video mit einem Werkzeug namens PHP2Shell. Es zeigt Codeausführung auf Servern mit WordPress, Drupal, Joomla, Magento, Laravel und weiteren Anwendungen. Alle laufen laut Root.cz in aktuellen Versionen. Ob das Video echt ist, hat PHP nicht bestätigt. Ars Technica nennt den Bericht dazu unbestätigt.
Die Sicherheitsfirma watchTowr hat die Lücke CVE-2026-109618 nach eigenen Angaben nachgebaut. Ihr Chef Benjamin Harris sagt, die Lücken seien real. Weitere Einzelheiten hält die Firma bis zu den Patches zurück.
Zudem nennt ein technischer Text die Funktion session.upload_progress als Ursache. Demnach greift PHP beim Hochladen von Dateien auf Speicher zu, der schon freigegeben ist. Das ist eine einzelne Quelle ohne offizielle Bestätigung.
| Kennzahl | Wert | Bedeutung |
|---|---|---|
| Schweregrad | 9,2 (CVSS 4.0) | Beide Lücken gelten als kritisch. |
| Patch-Termin | 21. Oktober, 16:00 Uhr | Das entspricht 14:00 UTC. Ein früherer Termin ist möglich. |
| Betroffene Hosts | rund 1,3 Millionen | Das ist die Schätzung eines Forschers laut Ars Technica. |
| Angriffsfenster | 15 Minuten | Sansec rechnet danach mit Massenangriffen. |
| Aktuelle Versionen | 8.5.11, 8.4.26, 8.3.35, 8.2.34 | Das sind die Stände vor dem Patch laut Root.cz. |
Welche Versionen betroffen sind
Öffentliche Berichte nennen alle Versionen ab PHP 5. Root.cz spricht von den Versionen 5, 7 und 8. Offiziell bestätigt ist das nicht. Auch die Ursache und der Angriffsweg sind laut SecurityWeek nicht belegt.
Patches erwartet Root.cz nur für die unterstützten Zweige 8.2, 8.3, 8.4 und 8.5. Ältere Versionen könnten Korrekturen von Linux-Distributionen erhalten. Das ist offen.
Dabei ist ein Hinweis wichtig. Im Netz heisst es, man könne session.upload_progress.enabled abschalten. Ondřej Surý, der PHP-Pakete für Debian pflegt, hält das laut Root.cz für sinnlos und vermutet ein KI-Märchen. Verlass Dich nicht auf diesen Tipp.
So bereitest Du Dich jetzt vor
Ars Technica nennt mehrere Schritte. Dazu kommt der Rat von CERT-EU. Er lautet, betroffene Seiten vom Netz zu nehmen, wenn sich die Patches nicht einspielen lassen. Die Meldung von CNA beschreibt das ausführlicher.
- Kläre, wer für PHP in Deiner Organisation zuständig ist.
- Liste jede Anwendung auf, die PHP nutzt, auch Hosting-Panels und mitgelieferte Software.
- Plane ein Wartungsfenster ab 14:00 UTC, mit Plan für einen früheren Start.
- Sichere Dateien und Datenbanken.
- Beobachte die Startseite von php.net auf Meldungen zu einem früheren Termin.
Deshalb lohnt sich der Blick über die eigenen Server hinaus. Huntress weist darauf hin, dass PHP in vielen Produkten steckt, die den Namen nicht nennen. Prüfe zudem, was Dein Hoster zum Patchplan sagt.
So zeigt die Analyse von Huntress, dass bis zur Meldung keine aktive Ausnutzung in den beobachteten Umgebungen vorlag. Cloudflare-Technikchef Dane Knecht meldet dagegen erste Angriffe. Seine Firewall-Regeln nennt er eine Übergangslösung. Patchen bleibt nötig.
Einordnung: Was das für Admins in der Schweiz heisst
Wer Websites, Shops oder interne Tools auf PHP betreibt, muss heute handeln. Der Patch erscheint laut Plan um 16:00 Uhr Schweizer Zeit, und die Angriffe könnten Minuten später beginnen. Wer Hosting zukauft, sollte beim Anbieter nach dem Patchplan fragen. Kosten nennen die Quellen nicht. Der Aufwand besteht aus Inventar, Backup und einem kurzen Wartungsfenster. Wer nicht patchen kann, soll laut CERT-EU die betroffene Seite vom Netz nehmen.
Fazit
Du kennst jetzt Termin, Risiko und die Vorbereitungsschritte. Erstelle heute das Inventar, sichere die Daten und halte das Wartungsfenster frei. Spiele den Patch ein, sobald er für Deine Version erscheint. Prüfe danach die Hinweise des PHP-Archivs und Deines Anbieters.
Quellen: Root.cz, SecurityWeek, Ars Technica, CNA Business. Foto: nanoslavic / Pixabay. Stand: 21. Oktober 2026.
Recherche und Entwurf KI-gestützt, geprüft und freigegeben von Andreas Brauckmann · So arbeitet die Redaktion
Änderungshistorie
- — Artikel veröffentlicht.