Eine schwerwiegende Lücke erlaubt es Angreifern, ohne Anmeldung beliebigen Code auf betroffenen Webservern auszuführen. Der Patch ist seit heute Mittag verfügbar. Wer WaaS von Nexcraft-Labs nutzt, muss nichts unternehmen — alle betroffenen Systeme wurden bereits aktualisiert.
Alle über unser Website-as-a-Service-Paket betreuten Websites laufen bereits auf PHP 8.4.27. PHP-FPM wurde unmittelbar nach Freigabe des Patches neu gestartet. Es gibt für Sie nichts zu tun.
Am 20. Oktober 2026 veröffentlichte CERT-EU das Advisory 2026-018 zu zwei zusammenhängenden Schwachstellen in PHP:
| Kennung | Beschreibung | CVSS |
|---|---|---|
CVE-2026-109618 | Unauthenticated Remote Code Execution (RCE) | 9,2 – kritisch |
CVE-2026-109619 | Privilege-Escalation-Kette (Folgelücke) | 8,1 – hoch |
Was das bedeutet: Ein Angreifer kann ohne Anmeldung, ohne Passwort und ohne besondere Vorkenntnisse beliebigen Code auf einem betroffenen Webserver ausführen — Dateien lesen, löschen, Daten abgreifen oder den Server als Ausgangspunkt für weitere Angriffe nutzen. Cloudflare und das Sicherheitsunternehmen watchTowr haben bestätigt, dass die Lücke bereits aktiv ausgenutzt wird.
Betroffen sind alle Webserver, die PHP verwenden und auf denen kein Patch eingespielt wurde. Das umfasst PHP ab Version 5 bis einschließlich:
Nicht betroffen sind Websites ohne serverseitiges PHP — also rein statische Seiten (HTML/CSS/JS ohne PHP-Backend).
Am 21. Oktober 2026, 14:00 Uhr UTC, wurden folgende Versionen veröffentlicht:
| Versionszweig | Gepatchte Version |
|---|---|
| PHP 8.4.x | 8.4.27 |
| PHP 8.3.x | 8.3.36 |
| PHP 8.2.x | 8.2.35 |
PHP 8.1 und ältere Zweige erhalten keinen offiziellen Sicherheits-Support mehr und sollten unabhängig von dieser Lücke dringend aktualisiert werden.
Prüfen Sie sofort Ihre PHP-Version:
php -v
Liegt das Ergebnis unter 8.2.35 / 8.3.36 / 8.4.27 — patchen Sie jetzt. Auf Debian/Ubuntu reicht:
sudo apt-get update && sudo apt-get upgrade php*
Danach PHP-FPM neu starten: sudo systemctl restart php<version>-fpm.
Falls Sie unsicher sind, ob Ihr Hoster bereits reagiert hat — fragen Sie aktiv nach.
Im Rahmen unseres Website-as-a-Service-Pakets übernehmen wir sämtliche Infrastruktur- und Wartungsaufgaben für Ihre Website. Dazu gehören automatische und zeitnahe Sicherheits-Updates, laufendes Monitoring und die sofortige Reaktion auf kritische Advisories wie dieses. Sie als Betreiber müssen sich um nichts kümmern — das ist der Kern des Rundum-sorglos-Pakets.
WaaS – alles inklusive Sicherheits-Check für Ihren Server