Kritische PHP-Lücken: Notfall-Patch heute 16 Uhr MESZ – PHP 8.1 und älter bleiben ungeschützt

Berlin, 21. Oktober 2026. Das PHP-Entwicklerteam hat für heute, 16:00 MESZ (14:00 Uhr UTC), ein Notfall-Sicherheitsupdate angekündigt, das zwei kritische Schwachstellen schließen soll: CVE-2026-109618 und CVE-2026-109619. Beide erlauben nach bisherigem Kenntnisstand Remote Code Execution (RCE) und wurden vom PHP-Security-Team mit einem CVSS-Wert von 9,2 (CVSS v4.0) eingestuft – einzelne Sicherheitsforscher wie watchTowr sprechen sogar von CVSS 10,0. Betroffen sind laut dem Sicherheitsdienstleister Sansec alle Webserver, die PHP ab Version 5.4 einsetzen, darunter Shopware-, Magento- und WooCommerce-Shops.

Die eigentlich brisante Nachricht für viele Shop- und Website-Betreiber: Für PHP 8.1 und ältere Versionen wird es keinen offiziellen Fix geben. PHP unterstützt aktuell nur die Versionslinien 8.2 und neuer mit Sicherheitsupdates – alle älteren, nicht mehr gepflegten Versionen bleiben nach dem heutigen Release verwundbar.

• CVEs: CVE-2026-109618 und CVE-2026-109619, beide als Remote-Code-Execution-Schwachstellen im PHP-Kern eingestuft.
• Schweregrad: 9,2 von 10 (CVSS v4.0) laut offizieller PHP-Einstufung; einzelne Quellen (u. a. watchTowr) nennen 10,0.
• Betroffene Versionen: Nach Angaben von Sansec und watchTowr potenziell alle PHP-Versionen ab 5.4 – die genaue Versionsliste will PHP erst mit Veröffentlichung der Updates nennen.
• Fix-Status: Offizielle Patches sind nur für die unterstützten Versionslinien PHP 8.2 und neuer vorgesehen. PHP 8.1 und älter gehen leer aus.
• Veröffentlichung: Details zur Schwachstelle, betroffene Versionen und die Patches selbst sollen am 21. Oktober 2026 um 16:00 MESZ veröffentlicht werden. PHP behält sich vor, früher zu veröffentlichen, sollten technische Details vorab öffentlich werden oder aktive Angriffe auftreten.
• Hintergrund: Die Ankündigung erfolgte, nachdem Details zur Schwachstelle am 20. Oktober vorzeitig durchgesickert waren – unter anderem über ein Exploit-Tool mit dem Namen „PHP2Shell". Sansec geht davon aus, dass es nach der Veröffentlichung innerhalb von Minuten zu automatisierten Massenangriffen kommen wird.
• Aktive Ausnutzung: Laut watchTowr und Sansec liegen bislang keine bestätigten Berichte über aktive Angriffe vor (Stand: Vormittag 21. Oktober 2026). Das kann sich mit Veröffentlichung der Patches und technischer Details sehr schnell ändern.

Anders als bei vielen Schwachstellen auf Applikationsebene (z. B. in Shopware-, Magento- oder WooCommerce-Plugins) setzt dieser Angriff nach aktuellem Kenntnisstand direkt an PHP selbst an – also unterhalb der Anwendung. Sansec weist explizit darauf hin, dass der Angriff vor dem eigentlichen Shop-Code und vor eigenen Shield-/WAF-Regeln ausgeführt wird. Eine Web Application Firewall kann Angriffsmuster auf Anwendungsebene filtern, aber keine Lücke im PHP-Interpreter selbst schließen. Virtuelles Patching über eine WAF ist deshalb hier bestenfalls eine Ergänzung, kein Ersatz für das Einspielen des PHP-Updates – sofern eines existiert.

Quellen:

• Sansec: Critical PHP RCE: CVE-2026-109618 and CVE-2026-109619
• BleepingComputer: PHP warns admins of two critical flaws, emergency patches coming tomorrow