Am 21.10.2026 hat das PHP-Projekt zwei kritische Sicherheitslücken veröffentlicht, CVE-2026-109618 und CVE-2026-109619. Über sie konnten Angreifer ohne Anmeldung Code auf betroffenen Servern ausführen. Betroffen waren unter anderem PHP 8.3 und 8.5.
Die Updates wurden um 16 Uhr veröffentlicht. Noch am selben Abend habe ich auf allen von mir betreuten Servern die abgesicherten Versionen PHP 8.5.12 und 8.3.36 eingespielt. Die Websites meiner Kunden liefen dabei ohne Unterbrechung weiter.
Sie haben eine Website und sind unsicher, ob sie betroffen ist? Melden Sie sich gern, ich prüfe das für Sie.






