Am 21. Oktober 2026 sind Sicherheitslücken bekannt geworden, die viele Versionen von PHP betreffen und einen Missbrauch betroffener Systeme aus der Ferne ermöglichen können.
Sie werden unter den Kennzeichnungen CVE-2026-109618 und CVE-2026-109619 geführt.
Allgemeine Informationen zu dieser Thematik finden Sie zum Beispiel unter folgenden Links:
Kunden mit Serversystemen sollten verfügbare Sicherheitsaktualisierungen so bald wie möglich einspielen.
Betroffen sind grundsätzlich Systeme, auf denen PHP-Anwendungen, zum Beispiel Webseiten, ausgeführt werden. Es gibt zwar Einstellungen, die das Risiko möglicherweise verringern können, sie bieten aber keinen vollständigen Schutz. Wenn Sie bis zur Installation eines Updates kein Risiko eingehen möchten, sollten Sie abwägen, ob Sie Ihren Webserver vorübergehend herunterfahren oder anderweitig vom Internet isolieren.
Unabhängig von dieser konkreten Sicherheitslücke sollten Sie regelmäßig Aktualisierungen für Ihre Server einspielen und diesen Vorgang idealerweise automatisieren:
https://www.hosteurope.de/faq/server/server-allgemeines/selbst-installation-sicherheitsupdates
https://www.hosteurope.de/faq/server/plesk/plesk-updates-linux
Im Folgenden finden Sie Informationen zum Stand der Aktualisierungen bei den für uns relevanten Anbietern und Distributionen. Die Verfügbarkeit eines Updates beim Hersteller bedeutet nicht automatisch, dass es bereits auf Ihrem individuellen Server installiert wurde.
- Plesk: PHP-Updates für Plesk unter Linux sind verfügbar und können über reguläre Plesk-Updates eingespielt werden. Informationen dazu finden Sie unter Plesk: CVE-2026-109618 und CVE-2026-109619.
- Ubuntu: Korrigierte Pakete sind für Ubuntu 22.04, 24.04, 26.04 und 26.10 veröffentlicht. Die betroffenen Pakete und korrigierten Paketstände sind im Ubuntu Security Notice USN-8948-1 aufgeführt. Für ältere Ubuntu-Versionen gibt es einen separaten Hinweis: USN-8948-2. Je nach Version ist Ubuntu Pro erforderlich.
- Debian: Korrigierte Pakete sind für Debian 12 (bookworm) und Debian 13 (trixie) in den Security-Repositories verfügbar. Für bookworm ist PHP 8.2.35-1~deb12u1, für trixie PHP 8.4.27-1~deb13u1 als korrigiert aufgeführt. Für forky und sid war der Status im Tracker noch als anfällig beziehungsweise nicht korrigiert angegeben. Details: Debian Security Tracker: CVE-2026-109618 und CVE-2026-109619.
- CentOS: Für CentOS Stream 9 wurde ein PHP-Paketstand 8.0.30-9.el9 mit Changelog-Einträgen zu beiden CVEs gemeldet. Ein offizieller, zentraler CentOS-Sicherheitshinweis mit bestätigter Verfügbarkeit in allen Repositories ließ sich nicht feststellen. Bitte prüfen Sie daher die Verfügbarkeit und den Changelog des PHP-Pakets in den für Ihr System aktivierten Repositories, bevor Sie von einer erfolgten Aktualisierung ausgehen.
- AlmaLinux: Korrigierte PHP-Pakete werden für alle PHP-Streams von AlmaLinux 8, 9 und 10 in die Produktions-Repositories ausgerollt. Die Spiegelserver können zeitverzögert synchronisieren. AlmaLinux empfiehlt, die Pakete über die reguläre Paketverwaltung zu aktualisieren und anschließend PHP-FPM beziehungsweise bei Verwendung von mod_php Apache neu zu starten. Hinweise und Paketstände: AlmaLinux: PHP2Shell – korrigierte PHP-Pakete.
- cPanel & WHM: cPanel hat EasyApache 4 Version 25.91 mit Sicherheitskorrekturen für ea-php74 bis ea-php85 veröffentlicht. Außerdem wurden interne PHP-Pakete von cPanel & WHM aktualisiert; die Herstellerinformationen nennen cPanel-&-WHM-Versionen 138.0.18, 136.0.50 und 134.0.66 sowie Version 110.0.153 mit einem Backport. Die Updates für EasyApache-PHP und die interne cPanel-PHP-Umgebung sind getrennt zu betrachten. Prüfen Sie deshalb, ob beide für Ihr System relevanten Updates installiert sind. Details: cPanel & WHM Release Notes – Sicherheitsupdate und EasyApache 4 25.91.
Die folgenden PHP-Versionen und neuere Versionen gelten im Upstream als korrigiert:
- 8.5.12
- 8.4.27
- 8.3.36
- 8.2.35
Distributionen und Anbieter können Korrekturen auch auf ältere PHP-Versionen zurückportieren. In diesem Fall lässt sich der Sicherheitsstatus nicht allein anhand der Upstream-Versionsnummer beurteilen. Prüfen Sie den für Ihre Distribution beziehungsweise Ihren Anbieter angegebenen Paketstand.
Bei selbst administrierten Systemen sind Sie grundsätzlich selbst für die Aktualisierung verantwortlich. Sollten Sie damit nicht zurechtkommen, können Sie über das KIS einen kostenpflichtigen Auftrag zur Einspielung der Updates durch uns einreichen: https://www.hosteurope.de/faq/server/server-allgemeines/service-standard-patches
Bitte beachten Sie, dass die Auslastung des Supports aktuell ungewöhnlich hoch ist und Anfragen deshalb nicht durchgängig in der sonst üblichen kurzen Zeit beantwortet werden können.
Stand: 22.10.2026, 06:25:!5h CEST
On 21 October 2026, security vulnerabilities were disclosed that affect many PHP versions and could allow affected systems to be exploited remotely.
They are tracked under CVE-2026-109618 and CVE-2026-109619.
General information on this topic can be found, for example, at the following links:
Customers with server systems should install available security updates as soon as possible.
This affects systems running PHP applications, for example websites. Although some settings may reduce the risk, they do not provide complete protection. If you do not want to take any risks until the updates have been installed, consider temporarily shutting down your web server or otherwise isolating it from the internet.
Regardless of this specific vulnerability, you should install updates for your servers regularly and, ideally, automate this process:
https://www.hosteurope.de/faq/server/server-allgemeines/selbst-installation-sicherheitsupdates
https://www.hosteurope.de/faq/server/plesk/plesk-updates-linux
The following information describes the update status for relevant providers and distributions. An update being available from a vendor does not mean that it has already been installed on your individual server.
- Plesk: PHP updates for Plesk on Linux are available and can be installed via regular Plesk updates. See Plesk: CVE-2026-109618 and CVE-2026-109619.
- Ubuntu: Fixed packages have been published for Ubuntu 22.04, 24.04, 26.04, and 26.10. Affected packages and fixed package versions are listed in Ubuntu Security Notice USN-8948-1. Older Ubuntu releases are covered by a separate notice: USN-8948-2. Ubuntu Pro is required for some releases.
- Debian: Fixed packages are available in the security repositories for Debian 12 (bookworm) and Debian 13 (trixie). The fixed versions are PHP 8.2.35-1~deb12u1 for bookworm and PHP 8.4.27-1~deb13u1 for trixie. The tracker still listed forky and sid as vulnerable or unfixed. Details: Debian Security Tracker: CVE-2026-109618 and CVE-2026-109619.
- CentOS: A PHP package version 8.0.30-9.el9 for CentOS Stream 9 was reported with changelog entries for both CVEs. I could not confirm an official, central CentOS security notice verifying availability across all repositories. Check the availability and changelog of the PHP package in your enabled repositories before assuming the update has been applied.
- AlmaLinux: Fixed PHP packages for all PHP streams on AlmaLinux 8, 9, and 10 are rolling out to the production repositories. Mirrors may take some time to synchronize. AlmaLinux recommends updating through the regular package manager and then restarting PHP-FPM or, if you use mod_php, Apache. Details and package versions: AlmaLinux: PHP2Shell – patched PHP packages.
- cPanel & WHM: cPanel has released EasyApache 4 version 25.91 with security fixes for ea-php74 through ea-php85. cPanel also updated its internal PHP packages; the vendor information lists cPanel & WHM versions 138.0.18, 136.0.50, and 134.0.66, as well as version 110.0.153 with a backport. EasyApache PHP and cPanel’s internal PHP environment are separate updates. Check whether both updates relevant to your system have been installed. Details: cPanel & WHM Release Notes – security update and EasyApache 4 25.91.
The following PHP versions and later are considered fixed in upstream PHP releases:
- 8.5.12
- 8.4.27
- 8.3.36
- 8.2.35
Distributions and vendors may also backport fixes to older PHP versions. In this case, the security status cannot be determined from the upstream version number alone. Check the package version specified by your distribution or vendor.
For self-managed systems, you are responsible for keeping them updated. If you are unable to do this yourself, you can submit a paid request through the KIS for us to install the updates for you: https://www.hosteurope.de/faq/server/server-allgemeines/service-standard-patches
Please note that our support team is currently handling an unusually high volume of requests, so we may not always be able to respond as quickly as usual.
As of: 22 October 2026, 06:25:15 CEST