Was ist passiert?
Die beiden Sicherheitslücken CVE-2026-109618 und CVE-2026-109619 werden mit einem kritischen Schweregrad von 9,2 nach CVSS 4.0 bewertet.
Sie können Angreifern unter bestimmten Voraussetzungen ermöglichen, aus der Ferne Schadcode auf betroffenen Webservern auszuführen. Auch Websites mit CMS-Systemen wie WordPress, Contao oder Joomla können betroffen sein.
Was sollten Websitebetreiber jetzt tun?
- Eingesetzte PHP-Version beim Hoster überprüfen.
- Sicherheitsupdates umgehend installieren lassen.
- Website und Datenbank vor Änderungen sichern.
- Erreichbarkeit, Funktionen und Serverprotokolle kontrollieren.
Welche PHP-Versionen schließen die Sicherheitslücken?
Folgende Sicherheitsversionen wurden am vom PHP-Projekt veröffentlicht:
- PHP 8.2.35
- PHP 8.3.36
- PHP 8.4.27
- PHP 8.5.12
Bei älteren Versionen den Hersteller beziehungsweise Hostinganbieter nach Sicherheits-Backports fragen oder auf eine unterstützte PHP-Version wechseln.
Unsere Empfehlung
Websitebetreiber sollten ihre PHP-Umgebung kurzfristig überprüfen lassen und verfügbare Sicherheitsupdates unverzüglich installieren.
GLÜCKSGRIFF smart IT- and Websolutions unterstützt Unternehmen bei der technischen Überprüfung, Datensicherung und sicheren Aktualisierung ihrer Websysteme.
Offizielle Informationen und Download
Weitere Quelle: PHP-Release-Archiv 2026 auf php.net (öffnet in neuem Tab)
Quelle: Bundesamt für Sicherheit in der Informationstechnik (BSI), Pressemitteilung und Sicherheitshinweis BITS-H Nr. 2026-297981-1032 vom . Angaben zu den Sicherheitsversionen: php.net, Release-Archiv 2026.