Alle Zweige
| Zweig | Behoben in | Status | Support bis |
|---|---|---|---|
| PHP 8.5 | 8.5.12 | Release mit Fix | 31. Dezember 2029 |
| PHP 8.4 | 8.4.27 | Release mit Fix | 31. Dezember 2028 |
| PHP 8.3 | 8.3.36 | Release mit Fix | 31. Dezember 2027 |
| PHP 8.2 | 8.2.35 | Release mit Fix | 31. Dezember 2026 |
| PHP 8.1 | – | Nur Quell-Backport | 31. Dezember 2025 |
| PHP 8.0 | – | Nur Quell-Backport | 26. November 2023 |
| PHP 7.4 | – | Nur Quell-Backport | 28. November 2022 |
| PHP 7.3 und älter | – | Kein offizieller Fix | Längst beendet |
Für 8.1, 8.0 und 7.4 hat das PHP-Projekt nur minimale Quell-Branches im Repository php-src veröffentlicht (PHP-8.1-CVE-2026-109618-109619, für 8.0 und 7.4 nach demselben Muster). Getaggte Releases oder Binärpakete gibt es dafür nicht. Distributionen und Anbieter von Langzeit-Support haben die Patches vorab bekommen, siehe alte PHP-Versionen.
Wie der Fix auf die Server kommt
Linux-Distributionen und Paketquellen bauen PHP selbst neu, jede nach eigenem Zeitplan. Der Stand, so wie ihn die jeweilige Quelle veröffentlicht:
| Quelle | Status |
|---|---|
| Ubuntu | Pakete mit Fix |
| Debian | 2 von 4 behoben |
| Red Hat Enterprise Linux | 1 von 6 behoben |
| AlmaLinux | Noch kein Fix |
| Rocky Linux | Noch kein Fix |
| Fedora | 2 von 4 behoben |
| SUSE / openSUSE | Noch kein Fix |
| Alpine Linux | Noch kein Fix |
| Amazon Linux | Noch kein Fix |
| Docker official php image | 4 von 6 behoben |
| Ondrej Sury PPA / deb.sury.org | 2 von 3 behoben |
| Remi's RPM repository | 6 von 8 behoben |
| windows.php.net | 2 von 3 behoben |
| Homebrew | 4 von 5 behoben |
Hoster
Wir haben die öffentlichen Seiten von 26 Hostern gelesen. 21 hatten sich geäußert, 5 nicht. Alle Hoster mit Quellen.
- Sie müssen handeln1
- GoDaddy
- Wird verteilt12
- IONOS, Pantheon, Cloudways, SiteGround, OVHcloud, Bluehost, HostGator, Namecheap, DreamHost, InMotion Hosting, Liquid Web, A2 Hosting (hosting.com)
- Wird geprüft1
- Nexcess (Liquid Web)
Die beiden Schwachstellen
CVE-2026-109618 · CVSS v4.0 9.2
Speicherbeschädigung nach Out-of-Memory, führt zu Remote Code Execution.
CVE-2026-109619 · CVSS v4.0 9.2
Veralteter globaler Zustand, führt zu Remote Code Execution.
Wie PHP läuft, bestimmt das Risiko
| Betrieb als | Was die Advisories sagen |
|---|---|
| Apache mod_php | Höchstes Risiko. Eine Anfrage ohne Anmeldung kann die Lücke auslösen, bevor überhaupt Anwendungscode läuft. Das Advisory erwähnt eine funktionierende Demonstration. |
| PHP-FPM | Laut Quellcode-Analyse ausnutzbar. Einen vollständigen Exploit hat das PHP-Projekt nicht veröffentlicht. |
| LiteSpeed / LSAPI | Als betroffen gelistet. Gleiche Einschätzung wie bei FPM. |
| php-cgi | Als betroffen gelistet. |
| FrankenPHP | Als betroffen gelistet. |
| CLI | Die Kommandozeile ist nicht aus dem Web erreichbar. Hat das CLI-Binary eine betroffene Version, gilt das aber meist auch für die Web-SAPI. |
Die PHP-Advisories melden keine Ausnutzung in freier Wildbahn, und bei unserer Prüfung hatten weder CISA noch BSI eine bestätigt. Sicherheitsanbieter wie Cloudflare, watchTowr und Patchstack berichten von Angriffsversuchen. Behandeln Sie jeden ungepatchten Server als angreifbar.
Offene Fragen
- Regressionen in 8.5.12, 8.4.27, 8.3.36 und 8.2.35: Bis 17:30 UTC am 21. Okt. waren in den php-src-Issues keine gemeldet, die Releases waren aber noch keinen Tag alt.
- Ausnutzung: Cloudflare, watchTowr und Patchstack melden Angriffsversuche. CISA, BSI und CERT-EU hatten keine Ausnutzung in freier Wildbahn bestätigt. Offizielle Indicators of Compromise gibt es bisher nicht.
- Known Exploited Vulnerabilities Catalog der CISA: Um 17:36 UTC am 21. Okt. war keine der beiden CVEs aufgeführt. Wir prüfen das vor jedem Update erneut.
- Extended Support: HeroDevs nennt beide CVEs für PHP 7.4, 8.0 und 8.1. Den Fix von Zend für seine LTS-Builds kennen wir nur aus zweiter Hand, und von TuxCare haben wir nichts gefunden.
- Red Hat: Die Daten zu RHEL 7 führen eine CVE als betroffen und die andere als nicht betroffen; RHEL 6 liegt außerhalb des Supports. Wir warten auf eine klare Aussage.
- Alpine: Die Sicherheitsdatenbank führt gefixte php84- und php85-Pakete, der x86_64-Paketindex lieferte um 17:30 UTC aber noch 8.4.26.
- Die GitHub Advisory Database hatte für keine der beiden CVEs geprüfte Einträge veröffentlicht. Dependabot und ähnliche Werkzeuge melden sie daher womöglich noch nicht.