Am 21. Oktober 2026 hat das PHP-Projekt Sicherheitsupdates für zwei kritische Schwachstellen in der PHP-Laufzeitumgebung veröffentlicht. Die unter der Bezeichnung „PHP2Shell“ bekannten Schwachstellen (CVE-2026-109618 und CVE-2026-109619) wurden jeweils mit einem CVSS-v4.0-Wert von 9,2 bewertet. Bereits am 20. Oktober hatte das PHP-Projekt die Veröffentlichung entsprechender Sicherheitsupdates angekündigt.
Die Schwachstellen befinden sich in PHP selbst und sind nicht auf ein bestimmtes Framework oder Content-Management-System (CMS) beschränkt.
Betreiber von PHP-basierten Anwendungen und Webservern sollten ihre eingesetzten PHP-Versionen überprüfen und die verfügbaren Sicherheitsupdates schnellstmöglich installieren.
Die Schwachstellen wurden mit folgenden PHP-Versionen behoben:
PHP 8.1 und ältere Versionen erhalten keine regulären Sicherheitsupdates mehr vom PHP-Projekt.
Starten Sie nach der Aktualisierung die betroffenen PHP-Dienste beziehungsweise Worker-Prozesse neu, damit die Sicherheitskorrekturen wirksam werden. Überprüfen Sie anschließend die Funktionsfähigkeit Ihrer Anwendungen.
Falls ein sofortiges Sicherheitsupdate nicht möglich ist, können folgende Konfigurationsänderungen das Risiko einer Ausnutzung bekannter Angriffswege reduzieren.
Wichtig: Diese Maßnahmen bieten keinen vollständigen Schutz und ersetzen keinesfalls die Installation der offiziellen Sicherheitsupdates.
CVE-2026-109618: Speicherverwaltung und Anfragegrößen
Anpassung der PHP-Speicherlimits und der maximal zulässigen Anfragegrößen sowie zusätzliche Begrenzung der Anfragegrößen auf Webserver-Ebene.
CVE-2026-109619: Session Upload Progress
Deaktivierung der PHP-Funktion „Session Upload Progress“.
Starten Sie nach den Konfigurationsänderungen die betroffenen PHP-Dienste beziehungsweise Worker-Prozesse neu.
Nach der Installation der Sicherheitsupdates sollten die temporären Einstellungen überprüft und bei Bedarf auf ihre ursprünglichen Werte zurückgesetzt werden.
Installieren Sie die verfügbaren PHP-Sicherheitsupdates umgehend. Temporäre Schutzmaßnahmen können das Risiko einer Ausnutzung reduzieren, bieten jedoch keinen vollständigen Schutz.
Weitere Informationen und technische Details finden Sie in der offiziellen Sicherheitsmeldung des PHP-Projekts.