Kritische PHP-Sicherheitslücken: Möglicherweise alle Versionen seit PHP 5 betroffen – Notfallupdate für den 21. Oktober angekündigt

Dieser Artikel wurde bereits 168x gelesen...

Die PHP-Entwickler haben ein außerplanmäßiges Sicherheitsupdate für zwei kritische Schwachstellen angekündigt. Beide Sicherheitslücken wurden mit einem CVSS-v4.0-Wert von 9,2 bewertet. Neue, bislang nicht offiziell bestätigte Informationen deuten darauf hin, dass eine Remote Code Execution (RCE) möglich sein könnte und die Schwachstellen möglicherweise bis zu PHP 5 zurückreichen.

Das wäre besonders kritisch, da PHP weltweit auf Millionen Webservern eingesetzt wird und zahlreiche Content-Management-Systeme, Webanwendungen und Verwaltungsportale darauf basieren.

Wichtig: Die Angaben zur Remote Code Execution und zur Betroffenheit aller Versionen seit PHP 5 sind bislang nicht offiziell bestätigt. Technische Einzelheiten zum Angriffsweg liegen noch nicht öffentlich vor.

Sollten sich die Informationen bestätigen, stehen Betreiber älterer PHP-Installationen vor einem erheblichen Problem.

Für PHP 5 und PHP 7 werden seit Jahren keine regulären Sicherheitsupdates mehr veröffentlicht. Auch ältere Versionen der PHP-8-Reihe sind inzwischen aus dem offiziellen Support ausgeschieden.

Nach den bislang unbestätigten Informationen sollen Korrekturen ausschließlich für unterstützte PHP-Versionen bereitgestellt werden.

Für Betreiber veralteter Anwendungen könnte dies bedeuten, dass kurzfristig eine Migration oder zumindest eine wirksame Isolation der betroffenen Systeme erforderlich wird.

Die Veröffentlichung der Sicherheitsupdates ist für den 21. Oktober 2026 um 14:00 Uhr UTC beziehungsweise 16:00 Uhr deutscher Zeit angekündigt.

Erst mit der Veröffentlichung werden voraussichtlich genauere Informationen zu betroffenen Versionen, technischen Ursachen und möglichen Schutzmaßnahmen verfügbar sein.

Stand: 21. Oktober 2026. Die Angaben zur RCE und zur Betroffenheit seit PHP 5 stammen aus bislang nicht offiziell bestätigten Informationen.

Quellen

• PHP.net – Offizielle Ankündigung zum kritischen Sicherheitsrelease
• PHP.net – Unterstützte PHP-Versionen
• PHP.net – Sicherheitsupdates und Downloads