Zusammenfassung:
Das PHP-Sicherheitsteam hat gerade eine Notfall-Sicherheitswarnung herausgegeben. Das Team wird am 21. Oktober 2026 um 22:00 Uhr ein Notfall-Sicherheitsupdate veröffentlichen, um zwei Sicherheitslücken mit hohem Risiko zu schließen. Die offiziellen Details der Schwachstelle wurden noch nicht bekannt gegeben, aber den im Internet kursierenden Nachrichten zufolge weist die alte Version von PHP eine Schwachstelle bei der Remotecodeausführung auf und es ist nur die Standardinstallationskonfiguration erforderlich, um die Schwachstelle auszulösen.
Das PHP-Sicherheitsteam gab an, dass allen Benutzern empfohlen wird, unmittelbar nach der Veröffentlichung des Updates auf die neueste Version zu aktualisieren. Die betroffene Version, die Reparaturversion und einige Details werden nach Veröffentlichung der neuen Version bekannt gegeben. Der Beamte erklärte außerdem, dass es nicht ausgeschlossen sei, dass eine reparierte Version im Voraus veröffentlicht werde, wenn die Details der Sicherheitslücke im Voraus bekannt gegeben würden oder Hinweise auf eine wilde Ausnutzung auftauchen.
Die derzeit bekannten Schwachstellennummern sind CVE-2026-109618 und 109619, und die Schwachstellenbewertungen liegen beide bei 9,2. Laut Reparaturplan wird das PHP-Team nur Sicherheitsupdates für die PHP 8-Serie bereitstellen. Ältere Versionen wie PHP 5.6 und 7.x können keine Updates erhalten. Ob es bis dahin eine Abhilfelösung geben wird, ist nicht bekannt.
PHP wird häufig verwendet, aber viele Websites verwenden immer noch ältere Versionen, die eingestellt wurden. Daten von Cyberspace Insights zeigen, dass etwa 59,4 % der 1,5 Millionen exponierten PHP-Hosts ältere PHP-Versionen verwenden, die keine Updates erhalten können. Wenn die neue Version behoben ist, könnten Hacker bald Kernschwachstellen entdecken und Angriffe starten.
Daher kann eine große Anzahl von Websites aufgrund von PHP-Schwachstellen angegriffen werden. Dieser Vorfall ist äußerst schädlich. Benutzern, die PHP verwenden, wird empfohlen, auf das um 10 Uhr abends veröffentlichte Versionsupdate zu achten. Bei Bedarf können sie sogar vorab heruntergefahren werden, um auf das Update zu warten.
Kommentare