Das PHP-Projekt hat zwei kritische Sicherheitslücken geschlossen, über die Angreifer ohne Anmeldung Schadcode auf Webservern ausführen können. Betroffen sind alle unterstützten Versionen der Skriptsprache, auf der ein Großteil der Websites läuft. Laut den Entwicklern hilft nur ein Update vollständig.
Diese Versionen schließen die Lücken
Die Entwicklerinnen und Entwickler der Skriptsprache PHP haben am Mittwoch außerplanmäßige Sicherheitsupdates veröffentlicht. Sie schließen zwei kritische Lücken mit den Kennungen CVE-2026-109618 und CVE-2026-109619. Beide erlauben es Angreifern, über das Netz ohne Anmeldung eigenen Code auszuführen, und zwar mit den Rechten des Webserver-Prozesses. Das Sicherheitsteam bewertet sie mit 9,2 von 10 möglichen Punkten auf der CVSS-Skala und ruft alle Nutzerinnen und Nutzer auf, sofort zu aktualisieren.
Abgesichert sind die Versionen PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35. Alle älteren Ausgaben dieser Reihen sind verwundbar. PHP 8.1 und frühere Versionen erhalten vom Projekt selbst keine Updates mehr, für die Reihen 7.4, 8.0 und 8.1 stehen laut PHP aber nachträglich angepasste Korrekturen bereit. Linux-Distributionen und Anbieter mit Langzeitunterstützung haben die Patches vorab erhalten.
Wie die Angriffe funktionieren
Die erste Lücke betrifft den Umgang mit Speichermangel. Läuft PHP während einer Anfrage der Speicher aus, wird die Verarbeitung abgebrochen, während Daten nur teilweise angelegt sind. Beim Aufräumen kann PHP diese ungültigen Daten dann wie gültige behandeln. Auslösen ließ sich das laut Sicherheitshinweis unter anderem über präparierte Datei-Uploads. Bestätigt ist der Angriff gegen das Apache-Modul mod_php mit Standardeinstellungen, andere Betriebsarten wie PHP-FPM könnten ebenfalls betroffen sein.
Bei der zweiten Lücke bleiben Daten einer Anfrage im Speicher eines Arbeitsprozesses zurück, obwohl dieser Speicher bereits freigegeben wurde. Eine spätere Anfrage an denselben Prozess kann diese Reste dann verwenden. Auch hier gilt mod_php als bestätigt angreifbar, PHP-FPM unter bestimmten Bedingungen. Ob die Lücken bereits aktiv ausgenutzt werden, geht aus den Hinweisen nicht hervor. Die Fehler meldeten mehrere externe Sicherheitsforscherinnen und Sicherheitsforscher.
Warum das Update so wichtig ist
PHP ist die mit Abstand verbreitetste Sprache für Websites. Laut dem Analysedienst W3Techs nutzen 69,3 Prozent aller Websites, deren serverseitige Programmiersprache bekannt ist, PHP. Darauf bauen auch verbreitete Systeme wie WordPress auf. Wer eine eigene Website betreibt, sollte deshalb bei seinem Hosting-Anbieter nachfragen, ob die PHP-Version bereits aktualisiert wurde. Bei verwalteten Hosting-Paketen übernimmt das meist der Anbieter.
Das PHP-Team hatte die Updates bereits am Dienstag angekündigt, damit sich Administratorinnen und Administratoren vorbereiten können. Die Veröffentlichung erfolgte wie angekündigt am Mittwoch um 16 Uhr mitteleuropäischer Sommerzeit.
Was hilft, wenn das Update noch nicht möglich ist
Eine vollständige Abhilfe außer dem Update gibt es laut den Entwicklern nicht. Übergangsweise können Einstellungen das Risiko senken: ein deaktiviertes Speicherlimit mit memory_limit=-1, ein niedriger Wert für post_max_size und das Abschalten der Funktion session.upload_progress, wenn sie nicht gebraucht wird. Unter PHP 8.5 empfiehlt das Team zusätzlich, fatal_error_backtraces zu deaktivieren.
Nach jeder Änderung müssen alle PHP-Prozesse neu gestartet werden. Das Team betont ausdrücklich, dass diese Maßnahmen eine Installation nicht sicher machen. Für PHP 8.2 endet die offizielle Unterstützung am 31. Dezember 2026, wer diese Version nutzt, sollte einen Umstieg einplanen.