Seit gestern Abend ist klar: Auf alle, die PHP betreiben, kommt ein ungewöhnlicher Tag zu. Das PHP-Sicherheitsteam hat auf php.net ein außerplanmäßiges Sicherheitsrelease angekündigt – für heute, Mittwoch, 21. Oktober 2026, 14:00 UTC (16:00 Uhr deutscher Zeit). Behoben werden zwei kritische Schwachstellen, beide mit CVSS v4.0 9.2 bewertet.

Brisant: Laut dem Sicherheitsunternehmen watchTowr sind Informationen zu den Lücken bereits vor dem Release öffentlich geworden. watchTowr bestätigt, dass die Lücken echt sind, spricht von Remote Code Execution und hat nach eigener Aussage eine davon reproduziert. Gehandelt werden die Kennungen CVE-2026-109618 und CVE-2026-109619. PHP hat sich ausdrücklich vorbehalten, den Patch früher zu veröffentlichen, falls Details öffentlich werden – genau das ist jetzt passiert.

Was (noch) nicht bekannt ist

Gerade kursiert viel Spekulation. Hier die Fakten, getrennt von Gerüchten:

• Betroffene Versionen: Die genaue Liste veröffentlicht PHP erst mit dem Release. Die Aussage „alle Versionen ab PHP 5“ ist bislang nicht offiziell bestätigt.
• Angriffsweg: Technische Details gibt es öffentlich nicht – und damit auch keinen verlässlichen Workaround.
• Ausnutzung: Eine aktive Ausnutzung ist bisher nicht bekannt. Das kann sich schnell ändern, sobald Patches veröffentlicht sind und Angreifer die Änderungen analysieren.

Warum das Magento-Shops besonders betrifft

Magento 2 und Adobe Commerce laufen vollständig auf PHP. Ein Shop ist öffentlich erreichbar, verarbeitet Kundendaten und Zahlungen – genau das Profil, auf das sich Angreifer nach solchen Veröffentlichungen stürzen. Bei CosmicSting und PolyShell lagen zwischen Patch und ersten Massenscans oft nur Stunden.

Checkliste – jetzt erledigen, nicht erst um 16:00 Uhr

1. Inventur: Auf welchen Servern, Containern und Pipelines läuft PHP – in welcher Version? Achtung: CLI (php -v) und PHP-FPM können unterschiedliche Versionen sein. Cronjobs, Queue-Consumer und Build-Server nicht vergessen.
2. Update-Quelle klären: Woher kommt euer PHP – Distribution, ondřej-PPA, Remi, offizielle Docker-Images, Managed Hosting? Prüft, wie schnell dort Updates ankommen. Distributionspakete hängen oft hinterher.
3. Wartungsfenster einplanen: Heute ab 16:00 Uhr bzw. sobald der Patch draußen ist. Staging bereithalten, Smoke-Tests vorbereiten: Checkout, Admin-Login, Cron, Indexer.
4. Nach dem Update: PHP-FPM neu starten, OPcache leeren, Version im Webkontext prüfen – nicht nur auf der CLI.
5. Alte PHP-Versionen: Wer noch auf PHP-Versionen ohne offiziellen Support läuft (z. B. 7.4, 8.0, 8.1), bekommt voraussichtlich keinen Patch. Hier braucht ihr jetzt einen Notfallplan.
6. Monitoring hochfahren: Logs, WAF und Dateiintegrität in den nächsten Tagen engmaschig beobachten – insbesondere neue PHP-Dateien in pub/, pub/media/ und var/.

Unsere Empfehlung

Keine Panik – aber auch kein Abwarten. Bereitet heute alles vor, damit ihr direkt nach dem Release patchen könnt. Wir aktualisieren diesen Beitrag, sobald PHP die betroffenen und die gefixten Versionen veröffentlicht.

Ihr betreibt einen Magento-Shop und seid unsicher, ob eure Server betroffen sind oder wer das Update einspielt? Meldet euch – wir helfen kurzfristig beim Prüfen und Patchen.

Quellen: php.net – Upcoming Critical PHP Security Release · watchTowr – FAQ zu CVE-2026-109618 · Cyber Daily. Stand: 21.10.2026.