Kritische PHP-Sicherheitslücken 2026: Jetzt patchen, Systeme prüfen und Modernisierung planen

Ein Montag, kurz nach neun Uhr. Der Webshop läuft, das CRM ist online, das Buchungsportal nimmt Anfragen entgegen. Niemand im Betrieb weiß auf Anhieb, welche PHP-Version auf dem Webserver läuft — und ob sie gerade aktiv angegriffen wird. Genau diese Situation beschreibt der Stand vieler mittelständischer Unternehmen am 22. Oktober 2026, zwei Tage nach einem der kritischsten PHP-Sicherheitsreleases der letzten Jahre.

Am 20. Oktober 2026 kündigte das PHP-Projekt ein kritisches Sicherheitsrelease an, das am 21. Oktober 2026 veröffentlicht wurde. Zwei Schwachstellen stehen im Mittelpunkt: CVE-2026-109618 und CVE-2026-109619. Beide erlauben unter bestimmten Bedingungen eine nicht authentifizierte Remote-Code-Ausführung — das bedeutet: Ein Angreifer kann ohne Login Code auf Ihrem Server ausführen, mit den Rechten des Webserver-Prozesses. Das ist keine theoretische Möglichkeit; laut watchTowr wurden in deren Honeypot-Netz seit dem 21. Oktober 2026 aktive Ausnutzungsversuche beobachtet (Quelle: watchTowr, eine einzelne Herstellerquelle). In Fachmedien kursiert für diesen Exploit der Name „PHP2Shell".

Dieser Leitfaden erklärt, was hinter den beiden CVEs steckt, welche Systeme betroffen sind, was sofort zu tun ist — und wie Unternehmen, die auf verwundbare oder nicht mehr gewartete PHP-Versionen angewiesen sind, eine belastbare Entscheidung für die nächsten Monate treffen.

Was hinter CVE-2026-109618 und CVE-2026-109619 steckt

Beide Schwachstellen haben einen CVSS-v4.0-Basiswert von 9,2 (Vektor: AV:N/AC:H/AT:P/PR:N/UI:N/VC:H/VI:H/VA:H). Die Angriffskomplexität ist laut Vektor hoch, der Angriffsweg führt über das Netzwerk, ohne dass Authentifizierung oder Nutzerinteraktion nötig wäre. Das Ergebnis einer erfolgreichen Ausnutzung ist volle Vertraulichkeits-, Integritäts- und Verfügbarkeitsgefährdung.

CVE-2026-109618: RCE via OOM Corruption (GHSA-w8hw-w9fx-j79w)

PHP bricht einen Request bei Speichermangel (Out of Memory, OOM) über longjmp() ab. In bestimmten Startphasen ist Request-Speicher bereits erreichbar, bevor er vollständig initialisiert ist. Der OOM-Abbruch hinterlässt dann ungültigen Zustand, den das Request-Ende weiterverwendet. Das Advisory nennt das Parsen von Multipart-Anfragen als möglichen Auslöser.

Die Prüflage nach aktuellem Stand (Stand 22.10.2026, laut PHP-Advisory und Quellcodeanalyse):

CVE-2026-109619: RCE via Stale Global State (GHSA-6wmf-4rv5-p3rp)

Der globale Zustand eines Workers — Fehler-, Session-, Objekt- und Extension-Zustand — zeigt nach Request-Ende auf bereits freigegebenen Speicher (Use-after-free). Eine Ausnutzung braucht zwei Requests, die denselben Worker erreichen.

Beide CVEs betreffen alle PHP-Versionen unter 8.2.35, 8.3.36, 8.4.27 und 8.5.12. Behoben sind sie in genau diesen Versionen (Quelle: php.net, abgerufen am 22.10.2026).

Welche Versionen betroffen sind — und was mit älteren Versionen gilt

Wer PHP 8.1 oder älter einsetzt, erhält vom PHP-Projekt keine offiziellen Updates mehr. Das PHP-Security-Team hat minimale Quell-Backports für PHP 7.4, 8.0 und 8.1 veröffentlicht; ob und wann Distributionen, Hoster oder LTS-Anbieter eigene Backports liefern, hängt vom jeweiligen Anbieter ab. Für Plesk-Umgebungen existiert laut Plesk-Support-Artikel ein eigener Hinweis zu CVE-2026-109618 und CVE-2026-109619 für die mitgelieferten PHP-Versionen. Für PHP 5 gibt es keinen Patch.

Die Supportzeiträume laut php.net (Stand 22.10.2026) zeigen, wie eng der Handlungsspielraum bereits ist:

PHP 8.2 hat also noch rund zwei Monate Sicherheitssupport. Wer jetzt auf 8.2.35 patcht und nicht zeitnah auf 8.3 oder höher umsteigt, steht Anfang 2027 erneut ohne offizielle Updates da.

Was jetzt sofort zu tun ist — und was nicht ausreicht

Das PHP-Projekt ist eindeutig: Die einzige vollständige Abhilfe ist das Update auf eine gepatchte Version mit anschließendem Neustart aller PHP-Worker bzw. Dienste.

Teilmaßnahmen, die laut Advisory allein keinen vollständigen Schutz bieten:

• memory_limit=-1 administrativ erzwingen (wirkt nicht, wenn RLIMIT_AS/RLIMIT_DATA-Grenzen auf Betriebssystemebene greifen)
• post_max_size konservativ halten
• max_input_nesting_level senken
• Eingabevariablen, Multipart-Teile und Uploads begrenzen
• Multipart-Anfragen am Frontend blockieren (sofern nicht benötigt)
• session.upload_progress.enabled=0 (auch nach dem Patch empfohlen, wenn das Feature nicht genutzt wird)
• Unter PHP 8.5: fatal_error_backtraces=0
• pm.max_requests=1, wo die Leistung es zulässt

Diese Maßnahmen können das Risiko einschränken, während ein Update vorbereitet wird. Sie ersetzen das Update nicht.

Schrittfolge für das Update

Ein hypothetisches Beispiel verdeutlicht den Ablauf: Ein Mittelstandsunternehmen betreibt WordPress auf Apache mit PHP 8.1 bei einem deutschen Shared-Hoster. Der Hoster bietet PHP 8.1 an, aber kein Upgrade auf 8.3. Die Schritte wären in diesem Fall:

1. Inventarisieren: Welche Anwendungen laufen auf welcher PHP-Version, auf welchem Server und welcher Laufzeitumgebung (Apache mod_php, FPM, FrankenPHP)?
2. Backups prüfen: Vor jedem Update einen verifizierten Datenbank- und Dateibackup erstellen.
3. Kompatibilität testen: Läuft die Anwendung auf der Zielversion? Plugins, Themes und Eigenentwicklungen auf Deprecated-Funktionen prüfen.
4. Update in Staging ausführen: PHP-Version wechseln, Anwendung vollständig durchklicken, Fehlerlog auswerten.
5. Produktiv umstellen und Worker neu starten: Ohne Neustart greift der Patch nicht vollständig.
6. Logs nach dem Update prüfen: Gibt es Fehlermeldungen, unerwartete Prozesse oder veränderte Dateien?

Im Shared-Hosting-Szenario ist der Hoster gefragt: Bietet er keinen Pfad zu einer gepatchten Version, muss entweder auf einen anderen Hoster migriert werden oder der Betreiber akzeptiert bewusst ein verbleibendes Risiko — und dokumentiert diese Entscheidung.

Woher Unternehmen wissen, ob ihre Systeme schon kompromittiert wurden

Das Update schließt die Lücke für neue Angriffe. Es sagt aber nichts darüber aus, ob ein Angriff bereits stattgefunden hat. Wer weiß, dass ein verwundbares System öffentlich erreichbar war, sollte gezielt nach Anzeichen suchen.

Mögliche Indikatoren (keine vollständige forensische Checkliste, sondern erste Prüfpunkte):

• Webshells: Neue oder veränderte PHP-Dateien in Upload-Verzeichnissen, temporären Ordnern oder an unerwarteten Pfaden
• Cron-Jobs und Systemdienste: Unbekannte oder kürzlich geänderte Einträge
• Zugangsdaten: Neue Benutzerkonten auf Betriebssystem- oder Anwendungsebene
• Ausgehende Verbindungen: Unbekannte externe Hosts in Netzwerklogs
• Zugriffslog-Muster: Ungewöhnlich viele Multipart-Requests oder Session-Upload-Progress-Anfragen in kurzer Zeit

Falls konkrete Hinweise auf eine Kompromittierung vorliegen, reicht ein Update nicht. Der betroffene Server muss isoliert, forensisch gesichert und von einem bereinigten Stand wiederhergestellt werden — das eigene Update-Protokoll kann sonst eine kompromittierte Umgebung als „gepatcht" ausweisen, ohne die eigentliche Schadkomponente entfernt zu haben.

Praxisbeispiel: Ein Onlineshop auf verwundbararem PHP

Hypothetisches Szenario: Ein Handelsunternehmen betreibt einen WooCommerce-Shop auf einem eigenen vServer, Apache mod_php, PHP 8.1.29, öffentlich erreichbar. Das Unternehmen hat keine dedizierte IT-Abteilung; die Seite wurde vor zwei Jahren von einer Agentur aufgebaut.

Risikobewertung nach aktuellem Stand: Apache mod_php ist für CVE-2026-109618 als verwundbar bestätigt. PHP 8.1 erhält keinen offiziellen Patch. Der Server ist über Port 443 erreichbar. Die Wahrscheinlichkeit, dass automatisierte Angriffstools den Server bereits gescannt haben, ist — gemessen an watchToWrs Honeypot-Daten seit dem 21.10.2026 — als erhöht einzuschätzen.

Was jetzt konkret zu tun wäre:

1. Webserver-Zugriffslog der letzten 48 Stunden auf Multipart-Request-Anomalien prüfen
2. session.upload_progress.enabled=0 in der php.ini setzen und Apache neu starten
3. Prüfen, ob der Hoster einen Backport für PHP 8.1 anbietet oder eine Migration auf PHP 8.3 möglich ist
4. WooCommerce und alle Plugins auf Kompatibilität mit PHP 8.3 testen (viele aktuelle Versionen unterstützen 8.3)
5. Falls Backport oder Update nicht innerhalb von 24–48 Stunden möglich: Webserver temporär hinter eine WAF oder vorgeschaltete Validierungsschicht stellen, die Multipart-Uploads filtert — als Überbrückung, nicht als Dauerlösung

Die strategische Frage: Patchen, stabilisieren oder modernisieren?

Eine kritische RCE-Schwachstelle ist ein legitimer Anlass, den Technologiestand des eigenen Systems zu bewerten. Aber sie ist kein Argument dafür, eine funktionierende Anwendung überstürzt durch etwas Neues zu ersetzen.

PHP ist als Sprache nicht grundsätzlich unsicherer als andere serverseitige Laufzeiten. Moderne PHP-Anwendungen auf aktuell gepflegten Versionen erhalten regelmäßige Sicherheitsupdates. Das Problem entsteht nicht durch PHP selbst, sondern durch Systeme, die auf veralteten, ungepflegten oder nicht aktiv gewarteten Versionen laufen — und durch fehlende Prozesse, die solche Updates zeitnah einspielen.

Die Entscheidung zwischen Patchen, Stabilisieren und Modernisieren lässt sich an drei Fragen festmachen:

1. Ist das System auf eine aktiv unterstützte PHP-Version upgradebar? Wenn ja: Update auf 8.2.35, 8.3.36, 8.4.27 oder 8.5.12 — anschließend einen Pfad zu 8.3 oder höher einplanen, da 8.2 Ende 2026 End of Life erreicht.

2. Läuft eine Eigenentwicklung, die nicht ohne weiteres auf eine neue PHP-Version aktualisiert werden kann? Dann ist die Frage nicht „PHP oder Node.js", sondern: Wie viel kostet die Modernisierung, wie viel kostet der Betrieb einer isolierten Altumgebung, und welches Risiko ist für das Unternehmen akzeptabel? Eine Teilmodernisierung — beispielsweise das schrittweise Ablösen einzelner Module über eine API-Schicht — ist in vielen Fällen wirtschaftlicher als ein vollständiger Neuaufbau.

3. Ist die Anwendung strategisch noch relevant? Wenn die Anwendung ohnehin in den nächsten zwölf Monaten abgelöst werden soll, ist ein Minimalpatching mit strikten Zugriffsbeschränkungen manchmal sinnvoller als ein kostenintensives Versions-Upgrade, das kurze Zeit später wieder hinfällig wird.

Moderne Zielarchitekturen: Einordnung ohne Automatismusdenken

Technologien wie Node.js, Fastify, Next.js und React sind mögliche Zielarchitekturen für eine Modernisierung — sie sind aber keine automatisch sicherere Alternative. Sicherheit entsteht durch Prozesse: regelmäßige Updates, Dependency-Scanning, Secrets-Management, Logging und Monitoring. Ein schlecht gewartetes Node.js-System ist nicht sicherer als ein gepflegtes PHP-System.

Was eine moderne Backend-Architektur mit Node.js und Fastify oder NestJS bietet, ist in vielen Fällen bessere Wartbarkeit, aktivere Ökosysteme für bestimmte Anwendungstypen und klarere Deployment-Pipelines — das sind valide Argumente für eine Migration, aber sie müssen gegen Geschäftslogik, Datenmigration, Betriebsverantwortung und Einführungskosten abgewogen werden.

Wer eine PHP-Anwendung modernisieren möchte, braucht vor dem Technologieentscheid eine Antwort auf: Was soll das neue System leisten? Welche Daten und Schnittstellen müssen übernommen werden? Wer verantwortet den Betrieb dauerhaft? Ohne diese Klärung ist jede Entscheidung für oder gegen eine Technologie verfrüht.

Für Unternehmen, die WordPress einsetzen und eine Modernisierung erwägen, lohnt ein Blick auf den Vergleich zwischen Next.js für Unternehmen und klassischen CMS-Lösungen.

Was SW Business Solutions konkret übernehmen kann

Die Situation, die am Anfang dieses Artikels beschrieben wird, ist häufiger als man annimmt: Niemand weiß auf Anhieb, welche PHP-Version läuft — und damit auch nicht, ob ein Update nötig, möglich oder riskant ist. Das ist kein Versäumnis der Geschäftsführung, sondern ein typisches Ergebnis davon, dass IT-Infrastruktur organisch gewachsen ist, ohne dauerhaft betreut zu werden.

SW Business Solutions prüft, welche Ihrer öffentlich erreichbaren Systeme eine verwundbare PHP-Version einsetzen, ob bereits Anzeichen einer Kompromittierung vorliegen und welche Update-Pfade realistisch und testbar sind. Wenn ein Update ohne Ausfallrisiko möglich ist, begleiten wir ihn mit Staging-Test und Rollback-Plan. Wenn eine Altanwendung nicht sicher auf eine aktuelle Version gehoben werden kann, entwickeln wir gemeinsam einen Modernisierungsplan — schrittweise, priorisiert nach Risiko und Geschäftsrelevanz, nicht nach Technologiepräferenz.

Wir haben das für eigene Systeme und für Kundenprojekte bereits durchgespielt: beim Aufbau vollständiger Buchungsplattformen ebenso wie bei der IT-Migration mittelständischer Unternehmen. Wir wissen, dass ein unkontrollierter Plattformwechsel mehr Risiken erzeugen kann als eine durchdachte Stabilisierung.

Wenn Sie wissen wollen, wie Ihre PHP-Systeme aktuell aufgestellt sind und welcher Handlungsbedarf realistisch ist, sprechen wir das in einem ersten Gespräch durch — ohne Verkaufsdruck, mit konkreter Einschätzung.

Weitere Hintergründe zu dauerhafter IT-Betreuung für den Mittelstand finden Sie unter Managed IT-Services für den Mittelstand und zu Sicherheit in komplexeren Produktionsumgebungen unter IT-Sicherheit in der Produktion.

Sofortmaßnahmen auf einen Blick

Quellen und weiterführende Informationen

Alle Fakten in diesem Artikel basieren auf dem PHP-Security-Advisory vom 21.10.2026 (php.net), den GitHub-Advisories GHSA-w8hw-w9fx-j79w und GHSA-6wmf-4rv5-p3rp, der offiziellen Versionsübersicht auf php.net/supported-versions.php, dem watchTowr-FAQ zu CVE-2026-109618 sowie dem Plesk-Support-Artikel zu CVE-2026-109618 und CVE-2026-109619. Stand der Angaben: 22.10.2026.