Hinweis: Dieser Artikel bezieht sich ausschließlich auf selbst verwaltete Serverprodukte. Unsere Webhosting-Produkte haben wir bereits abgesichert. Weitere Informationen dazu finden Sie hier: https://www.hosteurope.de/faq/aktuelle-hinweise/aktuelle-hinweise-allgemeines/php-security-fix-fall-2026
Am 21. Oktober 2026 sind Sicherheitslücken bekannt geworden, die viele Versionen von PHP betreffen und einen Missbrauch betroffener Systeme aus der Ferne ermöglichen können.
Sie werden unter den Kennzeichnungen CVE-2026-109618 und CVE-2026-109619 geführt.
Inzwischen ist bestätigt, dass die Sicherheitslücken aktiv ausgenutzt werden. Die US-Behörde CISA hat sie am 26. Oktober 2026 in ihren Katalog aktiv ausgenutzter Schwachstellen (Known Exploited Vulnerabilities) aufgenommen. Bitte spielen Sie verfügbare Updates umgehend ein.
Allgemeine Informationen zu dieser Thematik finden Sie zum Beispiel unter folgenden Links:
Kunden mit Serversystemen sollten verfügbare Sicherheitsaktualisierungen so bald wie möglich einspielen.
Betroffen sind grundsätzlich Systeme, auf denen PHP-Anwendungen, zum Beispiel Webseiten, ausgeführt werden. Es gibt zwar Einstellungen, die das Risiko möglicherweise verringern können, sie bieten aber keinen vollständigen Schutz. Wenn Sie bis zur Installation eines Updates kein Risiko eingehen möchten, sollten Sie abwägen, ob Sie Ihren Webserver vorübergehend herunterfahren oder anderweitig vom Internet isolieren.
Am 23. Oktober 2026 hat das PHP-Projekt zusätzlich auf eine weitere Schwachstelle (CVE-2026-115560) im Zusammenhang mit der Funktion Session Upload Progress hingewiesen, die nur bei einer ungewöhnlichen Konfiguration ausnutzbar ist. Das PHP-Projekt empfiehlt, die Einstellung session.upload_progress.enabled bis zum nächsten regulären PHP-Release auf 0 zu setzen.
Unabhängig von dieser konkreten Sicherheitslücke sollten Sie regelmäßig Aktualisierungen für Ihre Server einspielen und diesen Vorgang idealerweise automatisieren:
https://www.hosteurope.de/faq/server/server-allgemeines/selbst-installation-sicherheitsupdates
https://www.hosteurope.de/faq/server/plesk/plesk-updates-linux
Im Folgenden finden Sie Informationen zum Stand der Aktualisierungen bei den für uns relevanten Anbietern und Distributionen. Die Verfügbarkeit eines Updates beim Hersteller bedeutet nicht automatisch, dass es bereits auf Ihrem individuellen Server installiert wurde.
- Plesk: PHP-Updates sind für Plesk unter Linux und für Plesk für Windows (PHP 8.2 bis 8.5) verfügbar und können über reguläre Plesk-Updates eingespielt werden. Das von Plesk selbst verwendete PHP der Plesk-Oberfläche ist in Plesk Obsidian 18.0.81 Update 4 und 18.0.80 Update 11 korrigiert. Informationen dazu finden Sie unter Plesk: CVE-2026-109618 und CVE-2026-109619.
- Ubuntu: Korrigierte Pakete sind für Ubuntu 22.04, 24.04, 26.04 und 26.10 veröffentlicht. Die betroffenen Pakete und korrigierten Paketstände sind im Ubuntu Security Notice USN-8948-1 aufgeführt. Für Ubuntu 20.04, 18.04, 16.04 und 14.04 gibt es einen separaten Hinweis: USN-8948-2. Für diese älteren Versionen sind die Updates ausschließlich über Ubuntu Pro erhältlich, für 16.04 und 14.04 zusätzlich nur mit dem Legacy Support Add-on.
- Debian: Korrigierte Pakete sind für Debian 12 (bookworm) und Debian 13 (trixie) in den Security-Repositories verfügbar. Für bookworm ist PHP 8.2.35-1~deb12u1 (DLA-4848-1), für trixie PHP 8.4.27-1~deb13u1 (DSA-6574-1) als korrigiert aufgeführt. Für forky (testing) und sid (unstable) ist 8.4.27-1 als korrigiert angegeben. Debian 11 (bullseye) erhält keine regulären Updates mehr; Korrekturen gibt es dort nur über das kostenpflichtige Extended-LTS-Angebot von Freexian. Details: Debian Security Tracker: CVE-2026-109618 und CVE-2026-109619.
- CentOS: In den offiziellen Paketquellen von CentOS Stream 9 ist der PHP-Paketstand 8.0.30-9 mit Korrekturen für beide CVEs enthalten, für CentOS Stream 10 der Stand 8.3.36-1. Diese Korrekturen betreffen jeweils das Standard-PHP der Distribution; für zusätzliche PHP-Module beziehungsweise -Streams (zum Beispiel PHP 8.2 und 8.3 unter Stream 9 oder php8.4 unter Stream 10) waren korrigierte Pakete zuletzt noch nicht überall verfügbar. Ein offizieller, zentraler CentOS-Sicherheitshinweis mit bestätigter Verfügbarkeit in allen Repositories ließ sich nicht feststellen. Bitte prüfen Sie daher die Verfügbarkeit und den Changelog des PHP-Pakets in den für Ihr System aktivierten Repositories, bevor Sie von einer erfolgten Aktualisierung ausgehen. CentOS Linux 7 und 8 sowie CentOS Stream 8 erhalten keine regulären Updates mehr.
- AlmaLinux: Korrigierte PHP-Pakete für alle PHP-Streams von AlmaLinux 8, 9 und 10 sind seit dem 21. Oktober 2026 in den Produktions-Repositories verfügbar. AlmaLinux empfiehlt, die Pakete über die reguläre Paketverwaltung zu aktualisieren und anschließend PHP-FPM beziehungsweise bei Verwendung von mod_php Apache neu zu starten. Hinweise und Paketstände: AlmaLinux: PHP2Shell – korrigierte PHP-Pakete.
- cPanel & WHM: cPanel hat EasyApache 4 Version 25.91 mit Sicherheitskorrekturen für ea-php74 bis ea-php85 veröffentlicht; für ea-php73 und ältere Versionen gibt es keine Korrekturen. Außerdem wurden interne PHP-Pakete von cPanel & WHM aktualisiert; die Herstellerinformationen nennen cPanel-&-WHM-Versionen 138.0.18, 136.0.50 und 134.0.66 sowie Version 110.0.153 mit einem Backport. Die Updates für EasyApache-PHP und die interne cPanel-PHP-Umgebung sind getrennt zu betrachten. Prüfen Sie deshalb, ob beide für Ihr System relevanten Updates installiert sind. Details: cPanel & WHM Release Notes – Sicherheitsupdate und EasyApache 4 25.91. Wie Sie cPanel & WHM aktualisieren, beschreibt der Hersteller hier: cPanel: Upgrade to Latest Version.
- Windows: Windows Server enthält standardmäßig kein PHP, und PHP wird auch nicht über Windows Update aktualisiert. Wenn Sie unter Windows Webdienste mit PHP betreiben, zum Beispiel unter IIS, mit Plesk für Windows oder mit selbst installierten Paketen, müssen Sie die dort verwendeten PHP-Installationen prüfen und gegebenenfalls aktualisieren. Offizielle Windows-Builds von PHP stellt das PHP-Projekt unter windows.php.net/download bereit. Seit dem 26. Oktober 2026 stehen dort die Builds 8.5.12-1, 8.4.27-1, 8.3.36-1 und 8.2.35-1 bereit, die zusätzlich eine aktualisierte Brotli-Bibliothek (CVE-2026-111497) enthalten. Bei Plesk für Windows beachten Sie bitte die Hinweise im oben verlinkten Plesk-Artikel.
Die folgenden PHP-Versionen und neuere Versionen gelten im Upstream als korrigiert:
- 8.5.12
- 8.4.27
- 8.3.36
- 8.2.35
Für PHP 8.1 und ältere Versionen gibt es keine offiziellen korrigierten PHP-Releases. Distributionen und Anbieter können Korrekturen jedoch auf ältere PHP-Versionen zurückportieren. In diesem Fall lässt sich der Sicherheitsstatus nicht allein anhand der Upstream-Versionsnummer beurteilen. Prüfen Sie den für Ihre Distribution beziehungsweise Ihren Anbieter angegebenen Paketstand.
Bei selbst administrierten Systemen sind Sie grundsätzlich selbst für die Aktualisierung verantwortlich. Wenn Sie das Update nicht selbst durchführen können oder möchten, reichen Sie gerne über das KIS einen Auftrag ein. Wir spielen die Updates dann zum Preis von 25 Euro für Sie ein: https://www.hosteurope.de/faq/server/server-allgemeines/service-standard-patches
Note: This article applies only to self-managed server products. We have already secured our web hosting products. For more information, please see: https://www.hosteurope.de/faq/aktuelle-hinweise/aktuelle-hinweise-allgemeines/php-security-fix-fall-2026
On 21 October 2026, security vulnerabilities were disclosed that affect many PHP versions and could allow affected systems to be exploited remotely.
They are tracked under CVE-2026-109618 and CVE-2026-109619.
Active exploitation of these vulnerabilities has now been confirmed. On 26 October 2026, the US agency CISA added them to its Known Exploited Vulnerabilities catalog. Please install available updates immediately.
General information on this topic can be found, for example, at the following links:
Customers with server systems should install available security updates as soon as possible.
This affects systems running PHP applications, for example websites. Although some settings may reduce the risk, they do not provide complete protection. If you do not want to take any risks until the updates have been installed, consider temporarily shutting down your web server or otherwise isolating it from the internet.
On 23 October 2026, the PHP project also disclosed an additional vulnerability (CVE-2026-115560) related to the session upload progress feature, which is only exploitable with an unusual configuration. The PHP project recommends setting session.upload_progress.enabled to 0 until the next regular PHP release.
Regardless of this specific vulnerability, you should install updates for your servers regularly and, ideally, automate this process:
https://www.hosteurope.de/faq/server/server-allgemeines/selbst-installation-sicherheitsupdates
https://www.hosteurope.de/faq/server/plesk/plesk-updates-linux
The following information describes the update status for relevant providers and distributions. An update being available from a vendor does not mean that it has already been installed on your individual server.
- Plesk: PHP updates are available for Plesk on Linux and for Plesk for Windows (PHP 8.2 to 8.5) and can be installed via regular Plesk updates. The PHP used by the Plesk interface itself is fixed in Plesk Obsidian 18.0.81 Update 4 and 18.0.80 Update 11. See Plesk: CVE-2026-109618 and CVE-2026-109619.
- Ubuntu: Fixed packages have been published for Ubuntu 22.04, 24.04, 26.04, and 26.10. Affected packages and fixed package versions are listed in Ubuntu Security Notice USN-8948-1. Ubuntu 20.04, 18.04, 16.04, and 14.04 are covered by a separate notice: USN-8948-2. For these older releases, updates are only available via Ubuntu Pro; 16.04 and 14.04 additionally require the Legacy Support add-on.
- Debian: Fixed packages are available in the security repositories for Debian 12 (bookworm) and Debian 13 (trixie). The fixed versions are PHP 8.2.35-1~deb12u1 for bookworm (DLA-4848-1) and PHP 8.4.27-1~deb13u1 for trixie (DSA-6574-1). For forky (testing) and sid (unstable), 8.4.27-1 is listed as fixed. Debian 11 (bullseye) no longer receives regular updates; fixes are only available through Freexian's paid Extended LTS offering. Details: Debian Security Tracker: CVE-2026-109618 and CVE-2026-109619.
- CentOS: The official CentOS Stream 9 package sources include PHP package version 8.0.30-9 with fixes for both CVEs; CentOS Stream 10 includes version 8.3.36-1. These fixes apply to each distribution's default PHP; for additional PHP modules or streams (for example PHP 8.2 and 8.3 on Stream 9, or php8.4 on Stream 10), fixed packages were most recently not yet available everywhere. We could not identify an official, central CentOS security notice confirming availability across all repositories. Check the availability and changelog of the PHP package in your enabled repositories before assuming the update has been applied. CentOS Linux 7 and 8 and CentOS Stream 8 no longer receive regular updates.
- AlmaLinux: Fixed PHP packages for all PHP streams on AlmaLinux 8, 9, and 10 have been available in the production repositories since 21 October 2026. AlmaLinux recommends updating through the regular package manager and then restarting PHP-FPM or, if you use mod_php, Apache. Details and package versions: AlmaLinux: PHP2Shell – patched PHP packages.
- cPanel & WHM: cPanel has released EasyApache 4 version 25.91 with security fixes for ea-php74 through ea-php85; no fixes are provided for ea-php73 and older. cPanel also updated its internal PHP packages; the vendor information lists cPanel & WHM versions 138.0.18, 136.0.50, and 134.0.66, as well as version 110.0.153 with a backport. EasyApache PHP and cPanel’s internal PHP environment are separate updates. Check whether both updates relevant to your system have been installed. Details: cPanel & WHM Release Notes – security update and EasyApache 4 25.91. For instructions on updating cPanel & WHM, see the vendor documentation: cPanel: Upgrade to Latest Version.
- Windows: Windows Server does not include PHP by default, and PHP is not updated via Windows Update. If you run web services that use PHP on Windows, for example under IIS, with Plesk for Windows, or with self-installed packages, check the PHP installations they use and update them if necessary. Official Windows builds of PHP are provided by the PHP project at windows.php.net/download. Since 26 October 2026, builds 8.5.12-1, 8.4.27-1, 8.3.36-1, and 8.2.35-1 have been available there; they additionally include an updated Brotli library (CVE-2026-111497). For Plesk for Windows, please refer to the Plesk article linked above.
The following PHP versions and later are considered fixed in upstream PHP releases:
- 8.5.12
- 8.4.27
- 8.3.36
- 8.2.35
There are no official fixed PHP releases for PHP 8.1 and older. However, distributions and vendors may backport fixes to older PHP versions. In this case, the security status cannot be determined from the upstream version number alone. Check the package version specified by your distribution or vendor.
For self-managed systems, you are responsible for keeping them updated. If you cannot or do not want to install the update yourself, please submit a request through the KIS. We will then install the updates for you for a fee of EUR 25: https://www.hosteurope.de/faq/server/server-allgemeines/service-standard-patches