PHP-Sicherheitsupdate · Hilfe für Geschäftskunden
CVE-2026-109618 und CVE-2026-109619 betreffen den PHP-Unterbau Ihrer Website. Ich prüfe Ihre aktive Laufzeit, spiele den passenden Fix ein und stimme notwendige Anpassungen an CMS, Framework und Server mit Ihnen ab.
Andre Lohmann · IT Consultant
PHP-Entwicklung & Linux-Administration · Meine Vita ↗
Der Fix gehört in die aktive Laufzeit
Die laufenden PHP-Prozesse müssen den korrigierten Code laden. Ein CMS-Update allein reicht hier nicht.
Zum technischen Ablauf ↗Security-Stand · 22.10.2026
Zwei kritische PHP-CVEs.
Die Korrekturen sind verfügbar.
01 / Das Problem einordnen
Bei CVE-2026-109618 und CVE-2026-109619 liegt der Fehler in PHP selbst. Ein aktuelles CMS ist wichtig, ersetzt hier aber keinen korrigierten PHP-Unterbau.
Fehler beim Umgang mit Speichermangel
Wird eine Anfrage wegen Speichermangels abgebrochen, kann PHP während des Aufräumens auf unvollständig initialisierte Daten zugreifen. Unter passenden Bedingungen lässt sich dadurch fremder Code auf dem Server ausführen.
Für Apache mit mod_php ist ein Angriff bereits vor dem eigentlichen Anwendungscode beschrieben. Auch andere PHP-Betriebsarten müssen auf ihren Patch-Stand geprüft werden.
Veralteter Zustand zwischen Anfragen
Ein PHP-Worker kann internen Zustand aus einer abgeschlossenen Anfrage behalten, obwohl der zugehörige Speicher bereits freigegeben wurde. Eine weitere Anfrage kann anschließend auf diesen ungültigen Zustand zugreifen.
Auch hier ist Codeausführung möglich. Das Zusammenspiel aus Laufzeit, Konfiguration und Anfrageverarbeitung ist entscheidend – nicht allein der Name Ihres CMS.
Zum offiziellen Advisory02 / Der technische Fix
Die ersten behobenen Upstream-Versionen sind 8.2.35, 8.3.36, 8.4.27 und 8.5.12. Neuere Releases können zusätzliche Korrekturen enthalten.
Bei Distributionspaketen kann ein dokumentierter Sicherheits-Backport enthalten sein, obwohl die Versionsnummer anders aussieht. Maßgeblich ist der Nachweis für das tatsächlich verwendete Paket.
PHP-Sicherheitshinweis lesen ↗
php --version
php --ini
php -mDiese Befehle zeigen die CLI-Umgebung. Sie belegen noch nicht den Patch-Stand der Webanwendung.
Welche PHP-Version nutzt Ihre Domain wirklich? PHP-FPM-Pool, Apache-Modul, Container und Kommandozeile können voneinander abweichen. Ebenso gehören Cronjobs und Queue-Worker zur Bestandsaufnahme.
Dateien, Datenbank und Konfiguration müssen zusammenpassen. Vor dem Eingriff werden die Wiederherstellbarkeit und ein sinnvoller Rückweg besprochen – bei Einbruchsverdacht außerdem die Sicherung relevanter Spuren.
Das Update erfolgt über die verantwortliche Paketquelle, den Hosting-Anbieter oder ein neu gebautes Container-Image. Für PHP 8.1 und ältere Zweige ist ein belegter Hersteller-Backport oder eine Migration nötig; reguläre Upstream-Updates gibt es dort nicht mehr.
Installierte Dateien allein genügen nicht. Die betroffenen PHP- und Webserver-Prozesse müssen den korrigierten Code auch tatsächlich laden. Bei Containern gehört dazu ein kontrollierter Austausch der laufenden Instanzen.
PHP-Extensions, Composer-Pakete, Themes und Plugins müssen mit der Laufzeit harmonieren. Wir vereinbaren die relevanten Kontrollen: beispielsweise Login, Redaktion, Formulare, Checkout oder Schnittstellen.
Sie erhalten eine nachvollziehbare Übersicht über Änderungen, Versions- beziehungsweise Patch-Nachweise und verbleibende Aufgaben. So ist auch das nächste Sicherheitsupdate besser vorbereitet.
Begrenzungen am Proxy und einzelne PHP-Einstellungen können bestimmte Angriffswege einschränken. Sie ersetzen das Update nicht und können den Betrieb beeinflussen. Deshalb übernehme ich solche Einstellungen nicht ungeprüft als pauschalen Produktionsbefehl.
03 / Von der Website bis zum Server
Ein Update wird dann beherrschbar, wenn Anwendung und Betrieb gemeinsam betrachtet werden. Dafür bringe ich Erfahrung aus beiden Bereichen mit.
WordPress, TYPO3, Drupal und SilverStripe gehören zu meinem technischen Hintergrund. Bei PHP-basierten Websites untersuche ich, wo Runtime, Erweiterungen und eigener Code nicht mehr zusammenpassen.
Weitere PHP-Systeme wie Joomla werden anhand ihrer konkreten Installation eingeordnet.
Laravel, Symfony, SilverStripe, Zend Framework und Phalcon sind mir aus der Entwicklung vertraut. Ich betrachte Composer-Abhängigkeiten, PHP-Extensions und die Architektur Ihrer Anwendung.
Auch bei Laminas, CakePHP, CodeIgniter, Yii oder Slim beginnt die Arbeit mit der Prüfung Ihrer Abhängigkeiten.
Ob klassischer Linux-Server oder Container-Plattform: Ich untersuche Paketquellen, Webserver, PHP-Prozesse und Deployment. Ein behobenes Image muss auch wirklich die laufende Instanz ersetzen.
Für Shops wie Shopware, Magento, WooCommerce oder PrestaShop stimmen wir die geschäftskritischen Abläufe gesondert ab.
Anwendung und Infrastruktur gehören zusammen
Ich schaue über die Startseite hinaus: auf Ihre PHP-Anwendung, ihre Abhängigkeiten und die Prozesse dahinter. Bei größeren Migrationen oder veralteter Software erhalten Sie ein abgestimmtes Angebot, bevor die Umsetzung beginnt.
04 / Die Zusammenarbeit
Beschreiben Sie mir die betroffene Domain und das Fehlerbild. Wir klären, ob Ihr Hoster die Runtime aktualisieren muss, ob Anpassungen an der Anwendung nötig sind oder ob ein größerer Versionswechsel ansteht.
Für den beschriebenen Quickfix ohne größere Abhängigkeiten gilt der Gesamtpreis von 595,00 € inkl. 19 % MwSt. Bei größeren Migrationen oder veralteter Software erhalten Sie ein gesondertes Angebot. Zugänge, Wartungsfenster und erforderliche Freigaben werden vor dem Eingriff geklärt. Eine E-Mail-Anfrage ist noch keine automatische Beauftragung.
Das Angebot richtet sich ausschließlich an Geschäftskunden.
05 / Häufige Fragen
Was ein Sicherheitsupdate leisten kann – und welche Fragen zusätzlich geklärt werden müssen.
Die PHP-Laufzeit selbst. Ein WordPress-, TYPO3- oder Plugin-Update allein schließt diese beiden Lücken nicht. Die ersten korrigierten Releases sind PHP 8.2.35, 8.3.36, 8.4.27 und 8.5.12. Auch ein nachgewiesener Hersteller-Backport kann die Korrektur enthalten.
Entscheidend sind die PHP-Laufzeit, der Patch-Stand und die Art des Betriebs. Der Name des CMS allein sagt weder aus, ob ein Angriff möglich ist, noch ob bereits ein Einbruch stattgefunden hat. Ich prüfe die tatsächlich verwendete Umgebung.
Die Kommandozeile kann eine andere PHP-Installation verwenden als Ihre Website. FPM-Pools, Apache-Module und Container müssen jeweils betrachtet werden. Ebenso wichtig ist, dass nach dem Update keine alten Worker mit ungepatchtem Code weiterlaufen.
Ich untersuche PHP-Fehler, fehlende Extensions, Composer-Abhängigkeiten und inkompatiblen Anwendungscode. Dabei betrachte ich sowohl die Anwendung als auch Webserver und Betriebssystem. Umfang und Vorgehen vereinbaren wir vor der Umsetzung.
Ja. Mein Hintergrund umfasst PHP-Entwicklung und CMS-basierte Websites ebenso wie individuelle Anwendungen. Bei Laravel, Symfony und bestehenden Zend-Anwendungen helfen Kenntnisse der Frameworks, der Composer-Abhängigkeiten und des Serverbetriebs zusammen.
Ein Patch schließt eine bekannte Lücke, entfernt aber keine bereits eingeschleuste Schadsoftware. Bei einem konkreten Einbruchsverdacht sollten Spuren, Benutzerkonten und Änderungen gesondert untersucht und das weitere Vorgehen abgestimmt werden.
Der PHP-Quickfix kostet pauschal 595,00 € inkl. 19 % MwSt. für Systeme ohne größere Abhängigkeiten oder veraltete Software. Sie bestellen als Geschäftskunde; der Auftrag entsteht mit meiner ausdrücklichen Annahme nach Prüfung. Bei größeren Abhängigkeiten erhalten Sie vor Arbeitsbeginn ein gesondertes Angebot. Zahlung per Rechnung nach Leistungserbringung.
Das Bestellformular erfasst Ansprechpartner, E-Mail, Telefonnummer, Rechnungsanschrift, optional PO-Nummer / Rechnungsbetreff, Server-IP, SSH-Port und eine Beschreibung der Umgebung. Temporäre sudo- oder root-Zugänge werden im Browser verschlüsselt und als Einmallink übermittelt. Bitte keine Passwörter in die Serverbeschreibung oder in eine E-Mail schreiben.
Direkt bei Andre Lohmann bestellen
Ich behebe das beschriebene PHP-Sicherheitsproblem auf Ihrem Server für pauschal 595,00 € inkl. 19 % MwSt., sofern keine größeren Abhängigkeiten oder veraltete Software auf dem System vorliegen.
Sollte ich größere Abhängigkeiten oder veraltete Software feststellen, melde ich mich vor Aufnahme der Tätigkeit bei Ihnen zurück und unterbreite ein individuelles Angebot.
Hinterlassen Sie Ihre Kontaktdaten, Rechnungsanschrift und Angaben zum Server. Sie geben eine verbindliche Bestellung ab. Ich prüfe die Voraussetzungen und bestätige die Annahme persönlich; erst dadurch kommt der Auftrag zustande.
06 / PHP-Quickfix anfragen
Schreiben Sie mir ein paar Sätze zu Ihrer Website und dem aktuellen Problem. Für den Einstieg genügen Domain, Fehlerbild und die bekannten Angaben zu PHP, CMS und Hosting.
PHP-Quickfix per E-Mail anfragenDer Link öffnet Ihr E-Mail-Programm. Auf dieser Website werden keine Formulardaten versendet.
Nachvollziehbar statt pauschal
Die PHP-Sicherheitsupdates wurden am 21.10.2026 veröffentlicht. Stand dieser Einordnung: 22.10.2026. Maßgeblich bleiben die offiziellen Hinweise und die Prüfung Ihrer konkreten Umgebung.