PHP 8.3

Ist PHP 8.3 von PHP2Shell betroffen?

Das PHP-Sicherheitsteam nennt PHP 8.3 vor 8.3.36 in der Liste der betroffenen Versionen für beide CVEs. PHP 8.3.36 ist das erste Upstream-Release dieses Zweigs, das sie schließt. Eine Versionsangabe ab 8.3.36 ist der vom Projekt veröffentlichte Vergleich; sie beweist nicht, dass der Webserver mit dieser Binärdatei neu gestartet wurde.

Zuletzt aktualisiert 2026-10-22

Fakten zum Zweig PHP 8.3. Die Quellspalte nennt die Seite, die die Zelle belegt, keine Zweitmeinung dieser Website.

Fakt	Was die Quelle sagt	Quelle
Betroffener Bereich	PHP 8.3 vor 8.3.36	oss-security
Upstream-Fix	8.3.36 am 21. Oktober 2026 oder ein späteres 8.3-Release	php.net
Beide CVEs	Ein Release schließt CVE-2026-109618 und CVE-2026-109619. Es gibt keine zweite Patch-Nummer.	php.net
Schweregrad	CVSS v4.0 9.2 für jede CVE, laut PHP-Sicherheitsteam	oss-security
Wo es gilt	Installationen, die Webanfragen bedienen. Apache mod_php ist laut PHP das höchste Risiko. PHP-FPM ist ebenfalls betroffen.	php.net
Was zu tun ist	Auf 8.3.36 oder neuer aktualisieren und die Worker neu starten. Die CISA rät zum sofortigen Patchen. Eine Firewall ist keine vollständige Lösung.	CISA; php.net

So lesen Sie eine Versionsangabe

Vergleichen Sie das Tripel Major.Minor.Patch mit 8.3.36. Alles im Zweig 8.3 darunter ist der vom Sicherheitsteam genannte Bereich. Die Versionsprüfung führt diesen Vergleich im Browser durch und erkennt nicht, ob eine Distribution eine ältere Nummer behalten und einen Backport mit Paket-Suffix geliefert hat. Auf diesem unterstützten Zweig ist der Upstream-Fix selbst ein Versionssprung, ein Tripel unter 8.3.36 ist also nicht der php.net-Fix.

Prüfen Sie nach der Installation die SAPI, die HTTP beantwortet, nicht nur php -v in einer Admin-Shell. Starten Sie php-fpm oder Apache neu, damit die neue Binärdatei den Verkehr bedient. Schritte für apt, dnf, Docker, cPanel und Plesk stehen auf der Abhilfe-Seite, der Klickpfad für 宝塔面板 auf der BT-Panel-Seite.

Andere Zweige

Ist PHP 8.3 verwundbar?

Ja, vor 8.3.36. Jakub Zelenkas oss-security-Meldung führt PHP 8.3 unter 8.3.36 bei den betroffenen Versionen für CVE-2026-109618, im selben Release-Fenster wie CVE-2026-109619. Der php.net-Hinweis behandelt beide gemeinsam.

Welche PHP-8.3-Version behebt die Lücke?

PHP 8.3.36, veröffentlicht am 21. Oktober 2026, oder ein späteres Release im Zweig 8.3. Das ist der Upstream-Fix für CVE-2026-109618 und CVE-2026-109619. Installieren Sie ihn und starten Sie danach Apache, PHP-FPM oder die SAPI neu, die die Website ausliefert.

Behebt 8.3.36 beide CVEs?

Das PHP-Projekt hat ein gemeinsames Release-Set für beide Fehler veröffentlicht. Es gibt keinen eigenen 8.3-Patch für CVE-2026-109618 und einen weiteren für CVE-2026-109619.

Reicht eine Firewall oder eine php.ini-Änderung?

Nein. Laut PHP-Projekt ist nur ein Update eine vollständige Lösung. Vorläufige Einstellungen verringern bestimmte Pfade und stehen auf der Abhilfe-Seite. Sie ersetzen PHP 8.3.36 nicht.

Quellen

Externe Links verlassen diese Website. Wir hosten keinen Exploit-Code.

News archive 2026: security advisory, 21 October 2026 — PHP project (php.net)
CVE-2026-109618: PHP 8.2–8.5 RCE via OOM corruption — oss-security (Jakub Zelenka, PHP security team)
Today’s PHP security release, and how we’re strengthening PHP security — The PHP Foundation
Critical vulnerabilities in PHP require immediate patching (21 October 2026) — CISA
GHSA-w8hw-w9fx-j79w — CVE-2026-109618 — PHP (GitHub Security Advisory)
GHSA-6wmf-4rv5-p3rp — CVE-2026-109619 — PHP (GitHub Security Advisory)