Dringende Aktion erforderlich: Kritische PHP-Schwachstellen (CVE-2026-109618 & CVE-2026-109619)

Sehr geehrter Kunde,

Wir möchten Sie auf zwei kritische Sicherheitslücken aufmerksam machen, die in der PHP-Laufzeit identifiziert wurden: CVE-2026-109618 und CVE-2026-109619. Diese Sicherheitslücken können es einem nicht authentifizierten Angreifer ermöglichen, unter bestimmten Bedingungen beliebigen Code auf betroffenen Servern auszuführen.

Die Schwachstellen wurden mit einem CVSS-Score von 9,2/10 als kritisch eingestuft. Kunden, die betroffene PHP-Installationen ausführen, wird dringend empfohlen, sofortige Maßnahmen zu ergreifen.

Technische Details : Die Sicherheitslücken beinhalten Probleme mit der Speicherverarbeitung in PHP, die zu einer Remotecodeausführung (RCE) führen können:

- CVE-2026-109618 — Remote Code Execution via Out-of-Memory (OOM) Corruption: Unsachgemäße Handhabung von Speicherzuweisungsfehlern kann interne Anforderungsdaten in einem inkonsistenten Zustand belassen, was es einem Angreifer möglicherweise ermöglicht, die betroffene PHP-Laufzeit auszunutzen.

- CVE-2026-109619 — Remote Code Execution via Stale Global State: PHP kann Verweise auf bereits freigegebenen Speicher beibehalten. Unter bestimmten bedingungen können nachfolgende anforderungen, die von demselben mitarbeiter bearbeitet werden, auf diesen veralteten zustand zugreifen, was möglicherweise zu einer ausführung von ferncode führt.

Eine erfolgreiche Nutzung könnte den betroffenen PHP-Mitarbeiter kompromittieren und möglicherweise Website-Daten oder andere Ressourcen offenlegen, die für den Prozess zugänglich sind.

Offizielles PHP Sicherheitsankündigung und Fixed Versions.

Bitte beachten Sie die offizielle PHP-Sicherheitsankündigung für technische Details, betroffene Versionen und verfügbare Sicherheitsupdates:

URL : https://www.php.net/archive/2026.php#2026-10-21-5

Erforderliche Maßnahmen empfehlen wir Ihnen dringend:

1. Identifizieren Sie alle PHP-Versionen, die auf Ihrem Server installiert sind, einschließlich der Versionen, die von einzelnen Websites und Anwendungen verwendet werden.
2, Überprüfen Sie die relevanten Betriebssystem, PHP-Distribution oder Hosting-Control-Panel-Anbieter-Beratungen.
3. Wenden Sie die entsprechenden vom Hersteller unterstützten Sicherheitsupdates für alle betroffenen PHP-Installationen an.
4 Stellen Sie sicher, dass die PHP-Dienste und -Anwendungen mit den erforderlichen Sicherheitskorrekturen ausgeführt werden.
5. Wenn kein kompatibles Sicherheitsupdate verfügbar ist, schränken Sie den öffentlichen Zugriff auf betroffene Anwendungen ein, sofern dies möglich ist, und planen Sie ein angemessenes Upgrade oder eine Migration.
6. Überprüfen Sie die Anwendungskompatibilität, bevor Sie PHP-Versionen ändern, und testen Sie alle erforderlichen Änderungen, bevor Sie sie in der Produktion bereitstellen.

Wichtige Hinweise ,

- Wenn Ihr Server kein PHP verwendet und keine PHP-basierten Anwendungen oder Dienste installiert sind, können Sie diese Benachrichtigung ignorieren.
Wenn PHP installiert ist, aber als ungenutzt gilt, vergewissern Sie sich bitte, dass keine Websites, Hintergrundprozesse oder andere Dienste davon abhängen, bevor Sie entscheiden, dass keine Maßnahmen erforderlich sind.
- Da Ihr Server unter eine nicht verwaltete Servicevereinbarung fällt, kann die Wartung auf Betriebssystem- und Anwendungsebene in Ihrer Verantwortung liegen, vorbehaltlich unserer Servicevereinbarung.

Bitte behandeln Sie diese Beratung als Priorität.

Vielen Dank für Ihre Aufmerksamkeit und Zusammenarbeit bei der Aufrechterhaltung der Sicherheit Ihrer Serverumgebung.