» Systemhaus EHST » PHP-Sicherheitsupdates: 8.5.12, 8.4.27, 8.3.36 & 8.2.35

PHP ist die technische Grundlage zahlreicher Webseiten, Content-Management-Systeme und Onlineshops. Die jetzt bekannt gewordenen Schwachstellen betreffen die interne Verarbeitung von Webanfragen. Ein erfolgreicher Angriff kann im schlimmsten Fall dazu führen, dass fremder Programmcode mit den Berechtigungen des betroffenen PHP-Prozesses ausgeführt wird. Das PHP-Sicherheitsteam stuft die Probleme daher als kritisch ein und empfiehlt eine umgehende Aktualisierung.

Betroffen sein können unterschiedliche Betriebsarten, darunter PHP-FPM, Apache mit mod_php, php-cgi, FrankenPHP und LiteSpeed. Besonders kritisch bewertet das PHP-Projekt den Betrieb mit mod_php, da hierfür ein Angriff demonstriert wurde, der bereits vor dem Start des eigentlichen Anwendungscodes ausgelöst werden kann.

CVE-2026-109618 – Speicherfehler bei Ressourcenknappheit: Gerät PHP während der Verarbeitung einer Anfrage an eine Speichergrenze, kann eine interne Datenstruktur unvollständig initialisiert bleiben. Bei der anschließenden Bereinigung werden diese Daten unter Umständen falsch verarbeitet. Dadurch entsteht ein potenzieller Angriffspfad zur Ausführung von Schadcode.

CVE-2026-109619 – Weiterverwendung ungültiger interner Daten: Bestimmte globale Zustände können nach der Freigabe ihres Speichers erhalten bleiben. Verarbeitet derselbe PHP-Prozess später eine weitere Anfrage, kann er auf diese veralteten Informationen zugreifen. Auch daraus kann sich eine Möglichkeit zur unerlaubten Codeausführung ergeben.

Beide Probleme betreffen die PHP-Laufzeitumgebung selbst. Deshalb reicht es nicht aus, ausschließlich das eingesetzte CMS, Plugins oder Themes zu aktualisieren.

• PHP 8.5.12 – Sicherheitsupdate für den Versionszweig 8.5
• PHP 8.4.27 – Sicherheitsupdate für den Versionszweig 8.4
• PHP 8.3.36 – Sicherheitsupdate für den Versionszweig 8.3
• PHP 8.2.35 – Sicherheitsupdate für den Versionszweig 8.2; Supportende am 31.12.2026

PHP 8.1 und ältere Versionen erhalten vom offiziellen PHP-Projekt keine regulären Sicherheitsupdates mehr. Einzelne Linux-Distributoren und Langzeit-Supportanbieter können jedoch eigene, zurückportierte Korrekturen bereitstellen. Für PHP 7.4, 8.0 und 8.1 wurden außerdem minimale Quellcode-Anpassungen zur Verfügung gestellt. Wo möglich, empfehlen wir den Wechsel auf einen weiterhin unterstützten PHP-Versionszweig.

Für die Sicherheit unserer NVMe SSD Hosting-Pakete prüfen wir neue PHP-Sicherheitsupdates und übernehmen sie in unsere Hosting-Umgebung. Innerhalb eines bereits ausgewählten PHP-Versionszweigs werden Unterversionen nach entsprechender Prüfung aktualisiert. Die neuen Sicherheitsversionen ersetzen dabei ihre jeweiligen Vorgänger.

Die Auswahl der PHP-Hauptversion erfolgt weiterhin individuell pro Domain im LiveConfig-Kundenbereich unter Hosting → Domains. Als Standard-Versionszweig ist PHP 8.3 vorgesehen; mit dem Sicherheitsupdate lautet die zugehörige Zielversion PHP 8.3.36. Für einen Wechsel auf PHP 8.4 oder PHP 8.5 sollten Sie zuvor die Kompatibilität Ihrer Anwendungen, Themes, Plugins und Erweiterungen überprüfen.

Für Systeme, die nicht sofort aktualisiert werden können, beschreibt das PHP-Projekt verschiedene Maßnahmen zur vorübergehenden Verringerung einzelner Angriffswege. Dazu gehören unter anderem Einschränkungen bei der Verarbeitung von Uploads, die Deaktivierung bestimmter Funktionen sowie angepasste Speicher- und Prozessgrenzen. Diese Einstellungen können jedoch andere Probleme verursachen und sollten nur nach sorgfältiger technischer Prüfung umgesetzt werden.

Wichtig: Keine dieser Maßnahmen ersetzt ein Update auf eine korrigierte PHP-Version. Wir empfehlen daher, die Installation der Sicherheitsupdates mit höchster Priorität durchzuführen.

Weitere technische Informationen finden Sie in der offiziellen Sicherheitsmeldung des PHP-Projekts sowie in den Hinweisen zu CVE-2026-109618 und CVE-2026-109619.

Mit regelmäßigen Wartungsarbeiten und aktuellen PHP-Versionen schaffen wir eine wichtige Grundlage für den sicheren Betrieb Ihrer Webprojekte. Wenn Sie Fragen zur eingesetzten PHP-Version oder zur Kompatibilität Ihrer Webseite haben, unterstützt Sie unser Systemhaus EHST Kundenservice gerne.