Vorabinformation: Kritische Sicherheitslücken in PHP (CVE-2026-109618, CVE-2026-109619)
Wir möchten Sie vorab über zwei kritische Sicherheitslücken in PHP informieren, die in der PHP-Security-Community unter CVE-2026-109618 und CVE-2026-109619 geführt werden. Nach aktuellem Kenntnisstand ermöglichen beide das Ausführen von Schadcode auf betroffenen Systemen (Remote Code Execution) und wurden vom PHP Security Team mit dem Schweregrad “kritisch” (CVSS v4.0: 9.2) eingestuft.
Aktueller Stand
Das offizielle Sicherheitsupdate wird heute, am 21. Oktober 2026, um 14:00 UTC (16:00 Uhr MESZ) veröffentlicht. Das PHP-Projekt behält sich vor, das Update früher zu veröffentlichen, falls Details zu den Schwachstellen vorab öffentlich werden oder eine aktive Ausnutzung beobachtet wird. Bestätigte Details zu den betroffenen Versionen und zur Ursache liegen erst mit der Veröffentlichung vor. Offizielle Patches werden voraussichtlich nur für aktuell unterstützte PHP-Versionen (8.2 und neuer) erscheinen. Für ältere Versionen ist kein offizieller Fix zu erwarten.
Die offizielle Vorankündigung des PHP-Projekts finden Sie hier: https://www.php.net/archive/2026.php#2026-10-20-1
Wer ist betroffen?
Potenziell alle Systeme, auf denen PHP läuft, unabhängig davon, welches Produkt Sie bei uns nutzen (Webhosting, Managed Server, Managed Cloud Cluster, Root Server, VPS). Die Behebung ist ausschließlich auf Ebene der PHP-Installation möglich, nicht innerhalb der Anwendung.
Was wir tun (Webhosting, Managed Server)
Auf Basis der aktuell verfügbaren Informationen bereiten wir Konfigurations- und Härtungsmaßnahmen vor und prüfen diese nach Veröffentlichung des Patches gegen die offiziellen Details. Sobald der offizielle Patch vorliegt, rollen wir ihn automatisch auf allen betroffenen Systemen aus. Für ältere PHP-Versionen, für die kein offizieller Patch mehr erscheint, werden wir einen Patch entwickeln und anwenden. Ein Eingreifen Ihrerseits ist nicht erforderlich.
Was Sie tun sollten (Root Server, VPS, Managed Cloud Cluster)
Bei Root Servern, VPS und den VMs auf Managed Cloud Clustern liegt die Behebung in Ihrer Verantwortung. Wir empfehlen dringend:
- Prüfen Sie jetzt, welche PHP-Versionen auf Ihren Systemen im Einsatz sind.
- Planen Sie, das offizielle Update unmittelbar nach Veröffentlichung einzuspielen. Mit Angriffsversuchen ist kurz nach Bekanntwerden des Patches zu rechnen.
- Falls Sie eine PHP-Version einsetzen, für die kein offizieller Patch erscheint: Wann ein Patch für ältere PHP-Versionen auf inoffiziellem Weg (etwa über Distributions-Backports) verfügbar wird, ist derzeit nicht absehbar. Prüfen Sie daher die Kompatibilität Ihrer Anwendung mit einer unterstützten PHP-Version und bereiten Sie das Upgrade vor.
Nächstes Update
Wir informieren Sie heute zeitnah nach Veröffentlichung des offiziellen Updates mit einer Einschätzung auf Basis der offiziellen Details. Über die wichtigsten Entwicklungen informieren wir weiterhin über netcup-status.de und per Rundmail.
Advance notice: Critical security vulnerabilities in PHP (CVE-2026-109618, CVE-2026-109619)
We would like to give you advance notice of two critical security vulnerabilities in PHP, tracked by the PHP security community as CVE-2026-109618 and CVE-2026-109619. Based on current information, both allow the execution of malicious code on affected systems (remote code execution) and have been rated by the PHP Security Team with a severity of “critical” (CVSS v4.0: 9.2).
Current status
The official security update will be released today, 21 October 2026, at 14:00 UTC (16:00 CEST). The PHP project reserves the right to release the update earlier should details of the vulnerabilities become public or should active exploitation be observed. Confirmed details on affected versions and the root cause will only be available with the release. Official patches are expected only for currently supported PHP versions (8.2 and newer). No official fix is expected for older versions.
The official advance notice from the PHP project is available here: https://www.php.net/archive/2026.php#2026-10-20-1
Who is affected?
Potentially all systems running PHP, regardless of which product you use with us (Webhosting, Managed Server, Managed Cloud Cluster, Root Server, VPS). Patching is only possible at the level of the PHP installation itself, not within the application.
What we are doing (Webhosting, Managed Server)
Based on the information currently available, we are preparing configuration and hardening measures and will verify them against the official details once the patch has been released. As soon as the official patch is available, we will roll it out automatically on all affected systems. For older PHP versions for which no official patch will be released, we will develop and apply a patch ourselves. No action is required on your part.
What you should do (Root Server, VPS, Managed Cloud Cluster)
For Root Servers, VPS and the VMs on Managed Cloud Clusters, patching is your responsibility. We strongly recommend the following:
- Check now which PHP versions are in use on your systems.
- Plan to apply the official update immediately after its release. Attack attempts are to be expected shortly after the patch becomes public.
- If you are using a PHP version for which no official patch will be released: it is currently not foreseeable when a patch for older PHP versions will become available through unofficial channels (such as distribution backports). Therefore, verify your application’s compatibility with a supported PHP version and prepare the upgrade.
Next update
We will follow up today shortly after the release of the official update with an assessment based on the official details. We will continue to inform you about the most important developments via netcup-status.de and by email.
