Sicherheitshinweis · 21.10.2026

Kritische PHP-Sicherheitslücke: Updates heute um 12:00 und 16:30 Uhr.

Der Patch erscheint heute. Deshalb müssen wir schnellstens reagieren und spielen die Sicherheitsupdates noch heute auf allen Servern ein.

Worum es geht

Aktuell geht eine kritische PHP-Lücke um: „php2shell“, CVE-2026-109618 und CVE-2026-109619, CVSS 9.2. Es handelt sich um eine unauthentifizierte Remote Code Execution direkt in PHP. Das heißt, Angreifer können ohne Login mit einem einfachen HTTP-Request Befehle auf dem Server ausführen, unabhängig von CMS oder Framework. Laut Leaks sind alle Versionen ab 5.4 betroffen, ein Exploit-Tool ist schon unterwegs.

Warum es heute sein muss

Der Patch kommt heute um 16:00 Uhr, Fixes gibt es nur für PHP 8.2 bis 8.5. Mit Angriffen wird direkt nach dem Release gerechnet.

Was das für Sie bedeutet

Wir spielen heute um 12:00 Uhr und um 16:30 Uhr Sicherheitsupdates auf allen Servern ein. Dabei kann es kurzzeitig zu Unterbrechungen kommen.

Bitte beachten Sie, dass für die Updates keine Termine vereinbart werden können. Wir aktualisieren alle Server so schnell wie möglich. Ein individueller Zeitslot ist aufgrund der Kurzfristigkeit der Meldung nicht planbar.

Alles unter PHP 8.2 bekommt keinen Fix und müsste hochgezogen oder isoliert werden.

Fragen? Telefon 04131 22782-80 · info@wnm.de

Quellen

php.net, Ankündigung vom 20.10.2026
CERT-EU Security Advisory 2026-018