--- title: Kritische Schwachstellen in PHP Webanwendungen - (CVE-2026-109618 / CVE-2026-109619) description: "Kritische Schwachstellen in PHP: Sicherheitsupdates jetzt einspielen" --- - [Services](https://www.bithawk.ch/services/) - [Innovation](https://www.bithawk.ch/services/innovation/) - [Consulting](https://www.bithawk.ch/services/consulting/) - [Engineering](https://www.bithawk.ch/services/engineering/) - [Operation](https://www.bithawk.ch/services/operation/) - [Technolgy](https://www.bithawk.ch/services/technology/) - [Service Management](https://www.bithawk.ch/service-management/enterprise-service-management/) - [Enterprise Service Management](https://www.bithawk.ch/service-management/enterprise-service-management/) - [Service Management](https://www.bithawk.ch/service-management/service-management/) - [Business Management](https://www.bithawk.ch/service-management/business-management/) - [Operation Management](https://www.bithawk.ch/service-management/operation-management/) - [Service Now Plattform](https://www.bithawk.ch/service-management/servicenow-plattform/) - [HR Service Management](https://www.bithawk.ch/service-management/hr-service-management/) - [Partner](https://www.bithawk.ch/partner/) - [Microsoft](https://www.bithawk.ch/partner/microsoft/) - [Hewlett Packard Enterprise](https://www.bithawk.ch/partner/hewlett-packard-enterprise/) - [Cisco](https://www.bithawk.ch/partner/cisco/) - [ServiceNow](https://www.bithawk.ch/partner/servicenow/) - [HP Inc.](https://www.bithawk.ch/partner/hp-inc/) - [Weitere Partner](https://www.bithawk.ch/partner/weitere-partner/) - [Unternehmen](https://www.bithawk.ch/unternehmen/) - [About us](https://www.bithawk.ch/unternehmen/about-us/) - [Jobs](https://www.bithawk.ch/unternehmen/jobs/) - [News & Events](https://www.bithawk.ch/unternehmen/news-und-events/) - [Geschäftsleitung](https://www.bithawk.ch/unternehmen/geschaeftsleitung/) - [Referenzen](https://www.bithawk.ch/unternehmen/referenzen/) - [Auszeichnungen](https://www.bithawk.ch/unternehmen/auszeichnungen/) - [Standorte & Kontakt](https://www.bithawk.ch/unternehmen/standorte-und-kontakt/) - [Blog](https://www.bithawk.ch/blog/) ![Blog Banner Image](https://blog.bithawk.ch/hubfs/Security_Standart_2400x800px.jpg) # Kritische Schwachstellen in PHP Webanwendungen - (CVE-2026-109618 / CVE-2026-109619) Erstellt von [Daniel Kaufmann](https://blog.bithawk.ch/it-security/author/daniel-kaufmann) am 21.10.2026, 18:15:57 ![Daniel Kaufmann](https://blog.bithawk.ch/hubfs/Daniel-Kaufmann-NEU.jpg) Vernetzen auf: [LinkedIn](https://www.linkedin.com/in/daniel-kaufmann-89a20281) - [Tweet](https://twitter.com/share) Zwei kritische Schwachstellen in PHP können Angreifern ermöglichen, ohne Anmeldung Schadcode auf betroffenen Servern auszuführen. Sicherheitsupdates sind verfügbar. Wir empfehlen, betroffene Systeme unverzüglich zu aktualisieren. Am 21. Oktober 2026 hat das PHP Security Team zwei kritische Schwachstellen veröffentlicht, beide mit einem CVSS-v4.0-Score von 9.2. Unter bestimmten Bedingungen lässt sich damit aus der Ferne und ohne Authentifizierung Code auf dem Server ausführen (Remote Code Execution). In Medienberichten werden die Lücken auch als «PHP2Shell» bezeichnet. Bestätigte Angriffe sind bisher nicht bekannt, es gibt jedoch unbestätigte Berichte über bereits existierende Exploits. **Die Schwachstellen** - **CVE-2026-109618:** Wenn PHP der Speicher ausgeht, kann die Verarbeitung abbrechen, während interne Anfragedaten erst teilweise initialisiert sind. Beim anschliessenden Aufräumen werden diese ungültigen Daten als gültig behandelt. - **CVE-2026-109619:** Interner Zustand einer Anfrage kann bestehen bleiben, obwohl der zugehörige Speicher bereits freigegeben wurde. Eine spätere Anfrage im selben PHP-Worker kann diesen veralteten Zustand verwenden. **Wer ist betroffen?** Betroffen sind alle PHP-Installationen, die Web-Anfragen verarbeiten, zum Beispiel PHP-FPM, Apache mit mod\_php, php-cgi, FrankenPHP und LiteSpeed. Am kritischsten ist Apache mit mod\_php: Dort wurde ein Angriff demonstriert, der greift, bevor überhaupt Anwendungscode ausgeführt wird. Denken Sie auch an weniger offensichtliche Systeme. PHP steckt oft in Verwaltungsoberflächen, internen Fachanwendungen, Hosting-Plattformen, Containern und Appliances, ohne dass dies den Betreibern bewusst ist.   **Korrigierte Versionen** - PHP 8.5 → 8.5.12 - PHP 8.4 → 8.4.27 - PHP 8.3 → 8.3.36 - PHP 8.2 → 8.2.35 (PHP 8.2 erreicht am 31.12.2026 sein Supportende) - PHP 8.1 und älter erhalten vom PHP-Projekt keine Updates mehr. Prüfen Sie, ob Ihr Distributions- oder LTS-Anbieter Korrekturen bereitstellt, oder wechseln Sie auf eine unterstützte Version. **Empfohlene Massnahmen** 1. **Inventar erstellen:** Erfassen Sie alle PHP-Installationen mit Version, Erreichbarkeit und zuständigem Betreiber, inklusive eingebetteter Komponenten und extern betriebener Anwendungen. 2. **Priorisieren:** Behandeln Sie zuerst Systeme, die aus dem Internet erreichbar sind, und solche mit Zugriff auf schützenswerte Daten. Prüfen Sie danach die internen Systeme. 3. **Updates einspielen:** Installieren Sie die korrigierten Versionen. Bei Hosting-Angeboten und Herstellerprodukten lassen Sie sich die Behebung schriftlich bestätigen. 4. **Dienste neu starten:** Starten Sie PHP-Dienste und Worker neu. Bauen Sie Container-Images neu und stellen Sie sie erneut bereit. 5. **Behebung verifizieren:** Prüfen Sie, ob die tatsächlich laufenden Anwendungen die korrigierte Version verwenden. 6. **Auf Kompromittierung prüfen:** Untersuchen Sie Logs und Systeme auf ungewöhnliche Anfragen, Abstürze, veränderte Dateien und unerwartete Prozesse. Ein Update entfernt keine Angreifer, die bereits im System sind. **Wenn ein sofortiges Update nicht möglich ist** Schränken Sie den Zugriff auf betroffene Anwendungen so weit wie möglich ein. Bei kritischen Systemen kann auch eine vorübergehende Trennung vom Internet nötig sein. Die Hersteller-Advisories beschreiben zusätzliche Übergangsmassnahmen, etwa das Deaktivieren der Upload-Fortschrittsanzeige (`session.upload_progress.enabled=0`) und tiefere Limits für die Grösse von Anfragen. Diese Massnahmen schliessen nur einzelne Angriffswege. Sie ersetzen das Update nicht, und auch eine Web Application Firewall allein reicht nicht aus.   **Weitere Informationen** - BACS: [https://www.bacs.admin.ch/de/warnung-php-de](https://www.bacs.admin.ch/de/warnung-php-de) - PHP Security Advisory: [https://www.php.net/archive/2026.php#2026-10-21-5](https://www.php.net/archive/2026.php#2026-10-21-5) - BSI: [https://www.bsi.bund.de/DE/Service-Navi/Presse/Pressemitteilungen/Presse2026/261021\_PHP-kritische-Schwachstelle.html](https://www.bsi.bund.de/DE/Service-Navi/Presse/Pressemitteilungen/Presse2026/261021_PHP-kritische-Schwachstelle.html) - GitHub-Advisories: [CVE-2026-109618](https://github.com/php/php-src/security/advisories/GHSA-w8hw-w9fx-j79w), [CVE-2026-109619](https://github.com/php/php-src/security/advisories/GHSA-6wmf-4rv5-p3rp)   Gerne stehen wir Ihnen für weitere Fragen persönlich zur Verfügung. Sie erreichen uns direkt auf unserem [Kundenportal](https://bithawk.service-now.com/customer)oder unter [marketing@bithawk.ch](mailto:marketing@bithawk.ch) oder auf der Nummer 058 226 01 01.   --- ### **Cybersecurity - so wichtig wie nie!** Sind Sie ein Mitglied der Geschäftsleitung oder haben Sie einen Sitz im Verwaltungsrat? Tragen Sie Verantwortung für die Unternehmens-IT oder arbeiten Sie als Spezialist, der sich um die IT-Systeme kümmert? Für all diese unterschiedlichen Aufgabenbereiche bietet die BitHawk AG umfassende Services an. Wir beraten Sie auf der strategischen sowie operativen Ebene und bieten umfangreiche technische Lösungen an. Die Gefahren rund um die Cybersicherheit sind für jedes Unternehmen eine Herausforderung. Alle müssen sich in der heutigen Zeit mit dem Thema IT-Sicherheit befassen. Der Schutz der Informationstechnologie ist jedoch nicht nur eine rein technische Disziplin, sondern sollte vor allem als Prozess gedacht werden. BitHawk unterstützt Sie hier gerne mit einer vielfältigen Palette an Services und Beratungen. Dabei orientierten wir uns an etablierten Standards – etwa am IT-Grundschutz des deutschen Bundesamts für Sicherheit in der Informationstechnik (BSI) und am Cyber Security Framework des National Institute of Standards and Technology (NIST). Wollen auch Sie den Cybersecurity-Reifegrad in Ihrer Organisation erhöhen? Dann sprechen Sie mit uns oder schauen Sie rein. [Lesen Sie mehr zu Cybersecurity](https://www.bithawk.ch/services/cybersecurity)   --- ### [**Weitere Themen auf unserem Blog**](https://www.bithawk.ch/blog/)     Themen: [IT Security](https://blog.bithawk.ch/it-security/topic/it-security) [p](tel:0041582260101) [m](mailto:marketing@bithawk.ch) [b](https://www.bithawk.ch/) - BitHawk AG - Allee 1A - 6210 Sursee - [T +41 58 226 00 00](tel:0041582260000) [Newsletter abonnieren](https://www.bithawk.ch/newsletter) [t](https://twitter.com/BithawkA) [f](https://www.facebook.com/bithawk.ch) [n](https://www.linkedin.com/company/bithawk-ag/) [X](https://www.xing.com/company/bithawk) [y](https://www.youtube.com/channel/UCcBn71TQ1L0kWIEqEC-ZtOw) - [AGB](https://www.bithawk.ch/assets/AGB/fe13bb1a3b/AGB-BitHawk_Deutsch-v2.pdf) - [Impressum](https://www.bithawk.ch/impressum/) - [Rechtliches](https://www.bithawk.ch/rechtliches/) - [Retail Solutions](https://www.bithawk.ch/retail-solutions/) - [Digital Signage](https://www.bithawk.ch/digital-signage/) - [Cloud Backup](https://www.bithawk.ch/cloud-backup/) - [IT Security](https://www.bithawk.ch/it-security/) [b](https://bith.kraftausdruck.ch/) - BitHawk AG - Allee 1A - 6210 Sursee - [T +41 58 226 00 00](tel:0041582260000) - [Retail Solutions](https://bith.kraftausdruck.ch/retail-solutions/) - [Digital Signage](https://bith.kraftausdruck.ch/digital-signage/) - [Cloud Backup](https://bith.kraftausdruck.ch/cloud-backup/) - [IT Security](https://bith.kraftausdruck.ch/it-security/) [Newsletter abonnieren](https://bith.kraftausdruck.ch/newsletter) [t](https://twitter.com/BithawkA) [f](https://www.facebook.com/bithawk.ch) [n](https://www.linkedin.com/company/bithawk-ag/) [X](https://www.xing.com/company/bithawk) [y](https://www.youtube.com/channel/UCcBn71TQ1L0kWIEqEC-ZtOw) - [AGB](https://bith.kraftausdruck.ch/assets/AGB/84b446a628/2001.3-AGB-IT-DL-Bison-ITS.PDF) - [Impressum](https://blog.bithawk.ch/https://bith.kraftausdruck.ch/impressum/) - [Rechtliches](https://bith.kraftausdruck.ch/rechtliches/)