Nicht php.net · Nicht NVD · Nicht CISA

PHP-Sicherheitslücken-Tracker

Inoffizielles Briefing zu Sicherheitslücken in PHP

English简体中文日本語DeutschFrançaisNederlandsEspañol

Sicherheitswarnung

PHP2Shell: PHP aktualisieren. Nur das behebt die Lücke vollständig.

CVE-2026-109618 und CVE-2026-109619 sind kritische Schwachstellen in PHP selbst, die Remote-Code-Ausführung ohne Authentifizierung erlauben. Das PHP-Projekt hat am 21. Oktober 2026 Updates für die unterstützten Zweige 8.2 bis 8.5 veröffentlicht. Starten Sie PHP nach dem Update neu. Eine Firewall ersetzt das Update nicht.

Schritte zur Behebung

Produkte und Stacks

Ist meine Website betroffen? Produkte mit eingebautem PHP

Viele Websites installieren PHP nie direkt: Es steckt in einem lokalen Stack, einem Hosting-Panel, einem Container-Image, einem NAS oder einer Appliance. Ein Anwendungs-Update behebt PHP2Shell (CVE-2026-109618, CVE-2026-109619) nicht; das PHP darunter muss 8.2.35, 8.3.36, 8.4.27, 8.5.12 oder ein Hersteller-Build mit zurückportiertem Fix sein. Finden Sie Ihr Produkt unten.

Zuletzt aktualisiert

Status
Kategorie

Lokale Stacks und App-Server

ProduktStatusMitgeliefertes / genutztes PHP
XAMPPKein Hersteller-Advisory8.0.30 – 8.2.12
WampServerHersteller-Fix verfügbar8.2.35 · 8.3.36 · 8.4.27 · 8.5.12 (add-ons)
MAMP and MAMP PROKein Hersteller-Advisory8.3.28 · 8.4.15 · 8.5.0
LaragonKein Hersteller-Advisory8.3.33
Laravel HerdHersteller-Fix verfügbar8.2.35 · 8.3.36 · 8.4.27 · 8.5.12
ServBayTeilweise behobenv1 fixed · v2 8.2.30 / 8.3.30 / 8.4.18 / 8.5.3
FrankenPHP and Laravel OctaneHersteller-Fix verfügbarFrankenPHP 1.13.2
NativePHP and static-php-cliKein Hersteller-Advisory8.3.31 · 8.4.21 · 8.5.6

Hosting-Control-Panels

ProduktStatusMitgeliefertes / genutztes PHP
cPanel & WHM (EasyApache 4 ea-php)Hersteller-Fix verfügbarea-php74 – ea-php85
Plesk ObsidianHersteller-Fix verfügbar8.2.35 · 8.3.36 · 8.4.27 · 8.5.12 · 7.4/8.0/8.1 rebuilt
DirectAdmin (CustomBuild)Hersteller-Fix verfügbarCustomBuild 8.2–8.5 · patched older branches
CloudLinux alt-php and PHP SelectorTeilweise behobenalt-php52 – alt-php85 · ea-php52 – ea-php85
CyberPanelHersteller-Fix verfügbarlsphp 8.2.35 · 8.3.36 · 8.4.27 · 8.5.12
LiteSpeed and OpenLiteSpeed (lsphp)Hersteller-Fix verfügbarlsphp 8.2.35 · 8.3.36 · 8.4.27 · 8.5.12
aaPanelTeilweise behobenApp Store PHP 8.2–8.5 fixed
宝塔面板 (BT Panel)Teilweise behoben8.2.35 · 8.3.36 · 8.4.27 · 8.5.12 · BT 7.4.34/8.0.31/8.1.35
HestiaCPTeilweise behobensites: Sury packages · panel: hestia-php 8.5.9
CloudPanelTeilweise behoben8.2–8.5 fixed · 8.1 and older not fixed
ISPConfig 3OS-/Host-PHP patchenOS or Sury packages
Virtualmin and WebminOS-/Host-PHP patchenOS packages
Control Web Panel (CWP)Kein Hersteller-Advisorypanel-built PHP
WebuzoHersteller-Fix verfügbarEMPS (bundled)
CoolifyHersteller-Fix verfügbar8.4.27

Hosting-Plattformen und Server-Manager

ProduktStatusMitgeliefertes / genutztes PHP
Laravel ForgeOS-/Host-PHP patchenForge PHP repository
RunCloudKein Hersteller-AdvisoryRunCloud PHP packages
ServerPilotKein Hersteller-AdvisoryServerPilot PHP packages
AWS: Amazon Linux, Elastic Beanstalk, LightsailTeilweise behobenAL2023 php8.2–8.5 · AL2 php
Azure App Service (PHP)Teilweise behobenLinux built-in 8.2.35 · 8.3.36 · 8.4.27 · 8.5.12

Linux-Distributionen, Repositories und Windows

ProduktStatusMitgeliefertes / genutztes PHP
UbuntuHersteller-Fix verfügbar22.04 php8.1 · 24.04 php8.3 · 26.04 php8.5
Ondřej Surý PPA and packages.sury.orgHersteller-Fix verfügbar5.6 – 8.5
DebianHersteller-Fix verfügbar12: 8.2.35 · 13: 8.4.27
RHEL, AlmaLinux and Rocky LinuxTeilweise behobenRHEL 8: 7.4/8.2 · RHEL 9: 8.0/8.2/8.3 · RHEL 10: 8.3/8.4
Remi's RPM repositoryHersteller-Fix verfügbar8.2.35 · 8.3.36 · 8.4.27 · 8.5.12
Alpine LinuxTeilweise behoben3.24 and edge: 8.3.36 · 8.4.27 · 8.5.12
PHP on Windows and IISHersteller-Fix verfügbar8.2.35 · 8.3.36 · 8.4.27 · 8.5.12

Container-Images

ProduktStatusMitgeliefertes / genutztes PHP
Docker official php imagesHersteller-Fix verfügbar8.2.35 · 8.3.36 · 8.4.27 · 8.5.12
Bitnami PHP imagesTeilweise behobenphp-fpm 8.5.12 · bitnamilegacy 8.4.11

NAS-Geräte

ProduktStatusMitgeliefertes / genutztes PHP
Synology DSM and Web StationKein Hersteller-AdvisoryWeb Station 8.2.30 · 8.3.30 · 8.4.19
QNAP QTS and QuTS hero Web ServerKein Hersteller-Advisorybundled
Unraid OSKein Hersteller-Advisory8.4.26 (Unraid 7.3.3)
openmediavaultOS-/Host-PHP patchenDebian packages

Firewalls, Appliances und IT-Tools

ProduktStatusMitgeliefertes / genutztes PHP
pfSense (Netgate)Hersteller-Fix verfügbar8.5.12 (Plus 26.07, 26.03.1, CE 2.9.0) · 8.3.36 (CE 2.8.1)
OPNsenseHersteller-Fix verfügbar8.5.12 (26.7.7) · 8.3.36 (BE 26.4.2p3)
FreePBX and PBXactBetroffen, noch kein Fix17: Debian 12 PHP 8.2 · 16: PHP 7.4
Nagios XIOS-/Host-PHP patchenOS packages
Zabbix frontendOS-/Host-PHP patchenOS packages · Docker web images: Alpine PHP 8.5
GLPIHersteller-Fix verfügbarDocker 8.5.12 · packages: host PHP
Palo Alto Networks PAN-OS and PanoramaBetroffen, noch kein Fixbundled
F5 BIG-IP Configuration utilityBetroffen, noch kein Fixbundled
Citrix NetScaler ADC and GatewayBetroffen, noch kein Fixbundled
Trend Micro Apex One and Apex CentralBetroffen, noch kein Fix8.2.30 / 8.2.33
mailcowHersteller-Fix verfügbar8.2.35

CMS und Webanwendungen

ProduktStatusMitgeliefertes / genutztes PHP
NextcloudHersteller-Fix verfügbarAIO 8.4.27 · server: host PHP
WordPressOS-/Host-PHP patchenhost PHP
Magento and Adobe CommerceOS-/Host-PHP patchenhost PHP
Drupal (including Drupal 7)OS-/Host-PHP patchenhost PHP
Joomla (including Joomla 3)OS-/Host-PHP patchenhost PHP
PrestaShopOS-/Host-PHP patchenhost PHP
OpenCartOS-/Host-PHP patchenhost PHP
phpBBOS-/Host-PHP patchenhost PHP
vBulletinOS-/Host-PHP patchenhost PHP
MoodleOS-/Host-PHP patchenhost PHP
SuiteCRMOS-/Host-PHP patchenhost PHP
vtiger CRMOS-/Host-PHP patchenhost PHP
OpenEMROS-/Host-PHP patchenhost PHP
Dolibarr ERP & CRMOS-/Host-PHP patchenhost PHP
phpMyAdminOS-/Host-PHP patchenhost PHP
MediaWikiOS-/Host-PHP patchenhost PHP

Siehe auch: Abhilfe nach Plattform · Betroffene Versionen · Herstellerstatus

Inoffizielle Zusammenfassung öffentlicher Quellen. Diese Website ist weder mit dem Hersteller noch mit dem PHP-Projekt verbunden und hostet keinen Exploit-Code.