Sicherheit
Kritische PHP-Schwachstellen erfordern ein dringendes Update
Dieser Artikel wurde mit Werkzeugen für maschinelle Übersetzung übersetzt. Originalfassung ansehen
PHP hat heute die Versionen 8.5.12, 8.4.27, 8.3.36 und 8.2.35 veröffentlicht, die zwei kritische Schwachstellen beheben: Mit einer einfachen Webanfrage kann jemand ohne Zugangsdaten Code auf Ihrem Server ausführen. Wenn Sie PHP produktiv einsetzen, ist ein Update heute äußerst dringend.
Wenn Sie die Wartung bei Nebux gebucht haben, müssen Sie wie immer nichts tun: Alles ist bereits aktualisiert.
Was passiert ist
Heute wurden die Schwachstellen CVE-2026-109618 und CVE-2026-109619 veröffentlicht. Das Sicherheitsteam von PHP bewertet beide mit 9,2 von 10 nach CVSS 4.0, dem Standard, mit dem wir Fachleute für Cybersicherheit Risiken bewerten.
Betroffen ist jede PHP-Installation, die Webanfragen beantwortet: PHP-FPM, Apache mit mod_php, php-cgi, FrankenPHP und LiteSpeed. Am höchsten ist das Risiko bei mod_php, für das bereits ein Angriff demonstriert wurde.
Die Details sind gestern vor dem geplanten Termin durchgesickert, und PHP hat die Veröffentlichung um einen Tag vorgezogen.
Wenn Sie noch nicht aktualisieren können
PHP empfiehlt für die Zwischenzeit diese Maßnahmen. Sie schützen nicht vollständig, das tut nur das Update.
Für CVE-2026-109618 setzen Sie diese Werte dort, wo die Anwendung sie nicht ändern kann, etwa mit php_admin_value im FPM-Pool oder in der Apache-Konfiguration:
memory_limit = -1
post_max_size = 8M ; 32M, wenn Datei-Uploads nötig sind
Begrenzen Sie den Speicher nicht mit RLIMIT_AS oder RLIMIT_DATA, denn sie lösen genau den Fehler aus, den man vermeiden will.
Für CVE-2026-109619:
session.upload_progress.enabled = 0
fatal_error_backtraces = 0 ; nur in PHP 8.5
Starten Sie danach alle PHP-Prozesse neu. Eine Änderung per ini_set() oder .user.ini reicht nicht.
Wenn Sie PHP 8.1 oder älter einsetzen
Die Entwickler veröffentlichen für diese Versionen keine korrigierten Patches mehr. Das Sicherheitsteam von PHP hat Korrekturen für 8.1, 8.0 und 7.4 vorbereitet, aber Sie müssten sie selbst kompilieren, um sie anzuwenden. Am sichersten ist der Wechsel auf eine unterstützte Version. Beachten Sie dabei, dass der Support für 8.2 am 31. Dezember 2026 endet. Bis wann Ihre Version unterstützt wird, sehen Sie auf endoflife.date.
Was das für Nebux-Kunden bedeutet
Alle unsere Kunden hatten unterstützte PHP-Versionen, weil wir unsere Hausaufgaben rechtzeitig machen. Deshalb konnten sie den Patch sofort einspielen. Unser Team hat beim Bekanntwerden der Nachricht einen Update-Plan erstellt und, als PHP die Patches veröffentlicht hat, alle Dienste aktualisiert. Da das offizielle OCI-Image von PHP (für Docker, Podman usw.) noch nicht veröffentlicht war, haben wir ein vorübergehendes Image mit dem Patch erstellt. Drei Stunden nach der Veröffentlichung waren alle Dienste aktualisiert (und wir sprechen von Dutzenden!). Und ohne Zusatzkosten: Es ist in der monatlichen Pauschale enthalten.
Die Wartung ist dafür gedacht, sich um das zu kümmern, was bei Ihnen läuft, damit es weiterläuft: Updates, Schwachstellen und der tägliche Verschleiß. Und vor allem dafür, dass sich in Fällen wie diesem ganz einfach aktualisieren lässt, ohne überstürzte Migrationen und natürlich ohne jede Auswirkung auf den Produktivbetrieb. Und nicht nur bei PHP: Die gesamte Software wird auf dem neuesten Stand gehalten.
Es ist eine feste monatliche Pauschale, je nach Umfang und Komplexität Ihrer Infrastruktur. Wenn wir uns um Ihre kümmern sollen, erzählen Sie uns davon.