Kritische PHP-Sicherheitslücken vom Oktober 2026
Zwei kritische PHP-Sicherheitslücken aus dem Oktober 2026 können Webserver gefährden. Welche PHP-Versionen korrigiert sind und was Betreiber von ConcreteCMS-Websites jetzt prüfen sollten.
Am 21. Oktober 2026 veröffentlichte das PHP-Projekt Sicherheitsupdates für zwei kritische Schwachstellen. Unter bestimmten Bedingungen kann ein nicht angemeldeter Angreifer darüber Code auf einem Webserver ausführen. Betroffen ist PHP selbst – nicht eine bestimmte Funktion von ConcreteCMS.
Was ist passiert?
Die Schwachstellen CVE-2026-109618 und CVE-2026-109619 betreffen die Verarbeitung interner PHP-Daten während oder zwischen Webanfragen. Bei der ersten kann ein Speicherfehler nach ausgeschöpftem Speicher auftreten. Bei der zweiten kann ein PHP-Prozess auf bereits freigegebenen Speicher aus einer früheren Anfrage zugreifen. Beide Fehler können nach Angaben des PHP-Projekts eine Ausführung fremden Codes ermöglichen.
Das Risiko betrifft PHP-Installationen, die Webanfragen bearbeiten, darunter PHP-FPM und Apache mit mod_php. Für mod_php stuft das PHP-Projekt das Risiko besonders hoch ein: Ein demonstrierter Angriff kann bereits vor dem Start des Anwendungscodes ansetzen. Eine aktuelle ConcreteCMS-Version allein schließt deshalb diese Lücken im PHP-Unterbau nicht.
Welche PHP-Versionen schließen die Lücken?
| PHP-Zweig | Sicherheitsupdate mindestens |
|---|---|
| PHP 8.2 | 8.2.35 |
| PHP 8.3 | 8.3.36 |
| PHP 8.4 | 8.4.27 |
| PHP 8.5 | 8.5.12 |
Ältere Versionen innerhalb dieser Zweige enthalten die beiden Korrekturen noch nicht. PHP 8.1 und ältere Zweige erhalten vom PHP-Projekt keine Sicherheitsupdates mehr. Manche Linux-Anbieter liefern Korrekturen als Rückport unter eigener Paketversionsnummer aus. In diesem Fall zählt die Sicherheitsmeldung des Anbieters, nicht allein die angezeigte PHP-Ziffernfolge.
Was sollten Betreiber von ConcreteCMS-Websites tun?
- Ermitteln Sie als Administrator die PHP-Version und die tatsächlich verwendete PHP-Ausführungsart der Website. Auf einem Plesk-Server finden Sie diese Angaben bei der Domain unter PHP-Einstellungen. Prüfen Sie zusätzlich die installierte Paketversion des Servers, falls Ihr Anbieter Sicherheitskorrekturen rückportiert.
- Installieren Sie die korrigierte PHP-Version Ihres verwendeten Zweigs oder lassen Sie Ihren Hosting-Anbieter das Update einspielen. Stimmen Sie den Zeitpunkt mit der technischen Betreuung ab und halten Sie eine aktuelle Sicherung bereit.
- Rufen Sie nach dem Update die Startseite, mehrere Inhaltsseiten, die Anmeldung, Formulare und die Verwaltung auf. Kontrollieren Sie außerdem die PHP- und ConcreteCMS-Protokolle auf neue Fehler.
- Halten Sie ConcreteCMS und installierte Pakete unabhängig davon aktuell. Ein CMS-Update ersetzt das PHP-Sicherheitsupdate nicht.
Die vom PHP-Projekt genannten Konfigurationsmaßnahmen sind nur Übergangslösungen und schließen die Schwachstellen nicht vollständig. Das PHP-Projekt empfiehlt die aktualisierte PHP-Version. Für eine zusätzlich am 23. Oktober beschriebene, seltene Kombination aus Session-Konfiguration und Anwendungscode empfiehlt es vorübergehend session.upload_progress.enabled=0 bis zur nächsten regulären Fehlerkorrektur. Diese Einstellung ersetzt ebenfalls kein PHP-Update.
Was bedeutet das für Besucher einer Website?
Der Fehler liegt auf dem Server. Ein Browser-Update behebt ihn nicht. Der Besuch einer PHP-Website bedeutet auch nicht automatisch, dass Daten abgeflossen sind oder der Server angegriffen wurde. Erst eine Untersuchung des betroffenen Betreibers kann feststellen, ob ein konkreter Vorfall vorliegt.
Wenn ein Betreiber über einen Sicherheitsvorfall informiert, folgen Sie seinen konkreten Hinweisen. Ändern Sie Passwörter, wenn der Anbieter dazu auffordert oder ein tatsächlicher Zugriff auf Zugangsdaten festgestellt wurde. Verwenden Sie für jedes Konto ein eigenes Passwort und aktivieren Sie eine zusätzliche Anmeldebestätigung, sofern der Dienst sie anbietet.