Nicht php.net · Nicht NVD · Nicht CISA

PHP-Sicherheitslücken-Tracker

Inoffizielles Briefing zu Sicherheitslücken in PHP

English简体中文日本語DeutschFrançaisNederlandsEspañol

Sicherheitswarnung

PHP2Shell: PHP aktualisieren. Nur das behebt die Lücke vollständig.

CVE-2026-109618 und CVE-2026-109619 sind kritische Schwachstellen in PHP selbst, die Remote-Code-Ausführung ohne Authentifizierung erlauben. Das PHP-Projekt hat am 21. Oktober 2026 Updates für die unterstützten Zweige 8.2 bis 8.5 veröffentlicht. Starten Sie PHP nach dem Update neu. Eine Firewall ersetzt das Update nicht.

Schritte zur Behebung

End of Life

Ist PHP 5 bis 8.1 betroffen, und welche Version behebt es?

Es gibt kein offizielles PHP-Release, das diese beiden CVEs unter PHP 8.1 oder älter behebt. Das PHP-Projekt veröffentlichte nur minimale Quellcode-Backports für 7.4, 8.0 und 8.1. Darunter verwenden die zitierten Analysen keinen einheitlichen Bereich, daher bewahrt diese Seite den Widerspruch, statt ihn zu glätten.

Zuletzt aktualisiert

Die Zellen widersprechen sich absichtlich. Lesen Sie die Quellspalte, bevor Sie eine Zeile als Bereich übernehmen.
AussageWas diese Quelle sagtQuelle
Von PHP per Release gepatchte Zweige8.2 vor 8.2.35, 8.3 vor 8.3.36, 8.4 vor 8.4.27, 8.5 vor 8.5.12oss-security
PHP 8.1 und älterKeine Updates mehr vom PHP-Projekt. Minimale Quellcode-Backports nur für 7.4, 8.0 und 8.1, für Selbstbauer.php.net
Untergrenze bei Google CloudAlle Versionen von PHP 5.4 bis 8.5.11Google Cloud
Untergrenze bei CloudflarePHP 5.4 oder neuerCloudflare
WizDie Fehler reichen bis PHP 5.4 zurück; fast jede Version des letzten Jahrzehnts ist von mindestens einem betroffenWiz
watchTowr, FAQ vom 20. OktoberPHP 5, 7 und 8 insgesamt. Vor dem fertigen Hinweis geschrieben.watchTowr FAQ
Korrektur von ExpelBackports zeigen 7.4, 8.0 und 8.1 als betroffen. PHP hat 7.3 und älter im gesichteten Material nicht ausdrücklich bestätigt.Expel
Wenn kein Update möglich istSystem vom Netz nehmen, ausdrücklich auch PHP 8.1 und älterCISA
Kein PHP-ReleaseDie Linux-Pakete 7.4.34, 8.0.31 und 8.1.35 von 宝塔 sind Panel-Builds; laut Hinweis enthalten sie beide Fixes. Windows erhält diese drei Pakete nicht.宝塔-Hinweis

Was „behoben“ auf diesen Zweigen heißen kann

Eine Versionsnummer wie 8.1.34 oder 7.4.33 sagt nicht, ob ein Backport der Distribution installiert ist. Die Prüfung stuft diese Linien deshalb als End of Life ein. cPanel und Plesk haben eigene Build-Kennungen veröffentlicht, siehe Herstellerseite. Die Nummern von 宝塔 stehen nur auf der BT-Panel-Seite, und dort werden für 7.4, 8.0 und 8.1 nur die Linux-Pakete beansprucht.

Der unterstützte Weg weg von dieser Seite ist ein Upgrade auf 8.2.35, 8.3.36, 8.4.27 oder 8.5.12. PHP 5 vor 5.4 ist bei Wiz, Google Cloud und Cloudflare nicht die Untergrenze – und trotzdem keine Version, die ins Internet gehört.

Unterstützte Zweige

Ist PHP 8.1 betroffen?

PHP hat am 21. Oktober 2026 kein 8.1-Release veröffentlicht, wohl aber einen minimalen Quellcode-Backport für 8.1 – ein Beleg, dass 8.1 betroffen war, aber kein installierbares Paket von php.net. Die CISA rät, PHP 8.1 und älter vom Netz zu nehmen, wenn kein Update möglich ist. Ein Anbieter-Build kann den Backport ohne neue Upstream-Versionsnummer enthalten, deshalb erkennt ihn die Versionsprüfung nicht.

Sind PHP 7.4 oder 8.0 betroffen?

Wie bei 8.1: kein neues offizielles Release, aber für beide gibt es einen minimalen Quellcode-Backport. Expel stuft 7.4, 8.0 und 8.1 anhand der Backports als betroffen ein. Aktualisieren Sie auf 8.2.35 oder neuer oder bestätigen Sie einen konkret benennbaren Anbieter-Backport.

Sind PHP 5.4 oder PHP 7.3 und älter betroffen?

Wiz, Google Cloud und Cloudflare beschreiben Auswirkungen von PHP 5.4 bis zu den letzten 8.5-Builds vor dem Patch. watchTowrs FAQ vor dem Hinweis nannte PHP 5, 7 und 8 insgesamt. Expel sagt, PHP habe 7.3 und älter im gesichteten Material nicht ausdrücklich bestätigt. Diese Zeile ist ein Widerspruch, keine Entwarnung. Lassen Sie diese Versionen nicht im Internet.

Welche Version behebt PHP 5 bis 8.1?

Keine offizielle PHP-Version in diesen Linien. Die unterstützten Fixes sind 8.2.35, 8.3.36, 8.4.27 und 8.5.12. Einige Anbieter liefern eigene Pakete: Der Linux-Hinweis von 宝塔 nennt 7.4.34, 8.0.31 und 8.1.35, und diese Nummern sind keine Releases des PHP-Projekts.

Quellen

Externe Links verlassen diese Website. Wir hosten keinen Exploit-Code.

  1. News archive 2026: security advisory, 21 October 2026 — PHP project (php.net)
  2. CVE-2026-109618: PHP 8.2–8.5 RCE via OOM corruption — oss-security (Jakub Zelenka, PHP security team)
  3. Today’s PHP security release, and how we’re strengthening PHP security — The PHP Foundation
  4. Critical vulnerabilities in PHP require immediate patching (21 October 2026) — CISA
  5. PHP2Shell: AI uncovers critical RCE vulnerabilities affecting 70% of the Internet — Wiz Research
  6. Responding to core PHP vulnerabilities CVE-2026-109618 and CVE-2026-109619 — Google Cloud
  7. Cloudflare deploys protections against php2shell vulnerability — Cloudflare
  8. FAQ: PHP2Shell CVE-2026-109618 and CVE-2026-109619 (published 20 October 2026, updated 22 October 2026) — watchTowr
  9. Notice: php2shell, critical PHP vulnerabilities (status as of 21 October 2026, 20:00 UTC) — Expel
  10. PHP 与 Node.js 紧急安全更新公告（更新于 2026-10-22） — 宝塔面板 (BT Panel)