Kritische PHP-Schwachstellen CVE-2026-109618 und CVE-2026-109619

Zwei kritische Sicherheitslücken in PHP gefährden aktuell die Sicherheit von Webanwendungen. Welche PHP-Versionen betroffen sind, welche Sicherheitsupdates zur Verfügung stehen und was insbesondere bei Systemen unter Oracle Linux zu beachten ist, erläutern wir im folgenden Beitrag.

• CVE-2026-109618: Remote Code Execution infolge fehlerhafter Speicherbehandlung bei Out-of-Memory-Zuständen
• CVE-2026-109619: Remote Code Execution durch die Weiterverwendung bereits freigegebener interner Zustände

Die Schwachstellen können es einem nicht authentifizierten Angreifer ermöglichen, speziell präparierte HTTP-Anfragen an einen PHP-basierten Webserver zu senden und unter bestimmten Voraussetzungen Programmcode mit den Rechten des PHP-Webprozesses auszuführen. Betroffen sind PHP-Installationen, die Webanfragen verarbeiten, darunter Apache z.B. mit mod_php und php-cgi. [php.net]

Das Bundesamt für Sicherheit in der Informationstechnik stuft die Meldung als Kritikalität 3 / Orange ein. Dies bedeutet, dass Maßnahmen unverzüglich ergriffen werden müssen. Das BSI nennt für beide Schwachstellen einen hohen CVSS-v4.0-Wert von 9,2 (von 10) und weist darauf hin, dass ein öffentlicher Proof of Concept verfügbar ist. [bsi.bund.de], [bsi.bund.de]

Unmittelbar erforderliche Maßnahmen

Bitte prüfen Sie unverzüglich sämtliche Systeme, auf denen PHP installiert, in eine Anwendung eingebettet oder durch ein Drittprodukt mitgeliefert wird. Internetseitig erreichbare Systeme sind mit höchster Priorität zu behandeln.

Das PHP-Projekt stellt folgende behobene Versionen bereit (z.B. für Betriebssystem- oder LTS-Anbieter):

PHP 8.1 und ältere Versionszweige erhalten vom PHP-Projekt keine regulären Updates mehr. Für solche Installationen ist ein Upgrade auf einen unterstützten Versionszweig erforderlich, sofern nicht ein Betriebssystem- oder LTS-Anbieter einen ausdrücklich verifizierten Backport bereitstellt. Das PHP Security Team weist ausdrücklich darauf hin, dass nur ein Update eine vollständige Behebung darstellt. [news-web.php.net], [php.net], [php.net]

Hinweis für Oracle-Umgebungen

Für Systeme unter Oracle Linux sollten keine ungeprüften PHP-Pakete direkt von php.net über diese Distribution installiert werden. Verwenden Sie die zu Ihrer Oracle-Linux-Version passenden, von Oracle signierten Pakete aus den offiziellen Oracle-Linux-Repositories.

Oracle führt beide Schwachstellen im Oracle Linux CVE Repository mit der Auswirkung important. Für Oracle Linux 8, 9 und 10 sind zugehörige Security Advisory beziehungsweise aktualisierte Pakete veröffentlicht. [linux.oracle.com], [linux.oracle.com]

Für Oracle Linux 10 steht so das Security Advisory ELSA-2026-87070 zur Verfügung. Dieses aktualisiert die PHP-Pakete auf PHP 8.3.36 und adressiert beide CVEs. Weitere, zur jeweiligen Oracle-Linux-Version und zum jeweiligen PHP-Modulstream passende Advisories sind in den Oracle-CVE-Einträgen aufgeführt. [linux.oracle.com], [linux.oracle.com], [linux.oracle.com]

Bitte beachten Sie außerdem: Auch wenn ein Oracle-Produkt selbst nicht unmittelbar als betroffen ausgewiesen ist, kann der PHP-Bestandteil einer kundenspezifischen Webanwendung, eines Administrationswerkzeugs, eines Containers, eines Monitoring-Systems oder eines zusätzlichen Softwareprodukts auf Oracle Linux betroffen sein. Daher sollte die Prüfung nicht auf die Oracle Database oder die Oracle Middleware beschränkt werden.

Auf Oracle Database Appliances (ODA) sind gemäß Herstellerangaben von Oracle keine PHP-Laufzeitumgebungen als Bestandteil des ausgelieferten Software-Stacks enthalten. Kundenseitig installierte Software oder nachträglich vorgenommene Änderungen an den ODA-Systemen sind dennoch zu überprüfen. Dies betrifft insbesondere:

• Installierte Anwendungen oder Dienste innerhalb virtueller Maschinen,
• Betriebsnahe Software von Drittanbietern wie z.B. Backup-, Monitoring- oder Security-Agenten,
• sonstige zusätzlich installierte Komponenten, die PHP enthalten oder nutzen könnten.

Nach aktuellem Kenntnisstand ist der Oracle Weblogic-Server nicht von den genannten PHP Schwachstellen betroffen.

Empfohlenes Vorgehen

Erfassen Sie sämtliche PHP-Installationen, einschließlich Container, Appliances und mitgelieferter Laufzeitumgebungen. Priorisieren Sie öffentlich erreichbare Systeme und insbesondere Installationen mit Apache mod_php. Prüfen Sie unter Oracle Linux die für Ihre Plattform veröffentlichten Oracle Security Advisory. Installieren Sie die aktualisierten Pakete und starten Sie die betroffenen Web- beziehungsweise PHP-Dienste neu. Falls ein Update nicht unmittelbar möglich ist, schränken Sie die Erreichbarkeit des betroffenen Systems ein oder nehmen Sie es vorübergehend außer Betrieb. [bsi.bund.de], [php.net]

Wir empfehlen generell, die betroffenen Systeme im Rahmen Ihres regulären Vulnerability-Management-Prozesses durch geeignete Schwachstellenscans regelmäßig zu überprüfen, um Sicherheitslücken frühzeitig zu erkennen und im konkreten Fall gegebenenfalls vorhandene PHP-Installationen oder abhängige Komponenten identifizieren und bewerten zu können.

Weiterführende Informationen und Downloadquellen

• BSI-Sicherheitsmeldung: PHP – Kritische Schwachstellen bedrohen Webanwendungen weltweit[bsi.bund.de]
• BSI-Sicherheitsmeldung als PDF[bsi.bund.de]
• Heise Security Alert - php2shell: CVE-2026-109618 und CVE-2026-109619
• Offizielle PHP-Sicherheitsmeldung[php.net]
• https://www.php.net/ und https://www.php.net/downloads.php
• CVE-2026-109618 im CVE-Register
• CVE-2026-109619 im CVE-Register
• Oracle Linux: CVE-2026-109618[linux.oracle.com]
• Oracle Linux: CVE-2026-109619[linux.oracle.com]
• Oracle Linux Security Advisory ELSA-2026-87070[linux.oracle.com]