Wichtige Sicherheitsmitteilung: PHP-Update

22. Oktober 2026 · Zuletzt aktualisiert: 23. Oktober 2026

In der Software PHP wurden zwei kritische Sicherheitslücken mit den Kennungen CVE-2026-109618 und CVE-2026-109619 festgestellt. Diese in der Öffentlichkeit als PHP2Shell bezeichneten Lücken können ohne Authentifizierung durch eine speziell präparierte Webanfrage zur Ausführung von Code auf dem Server aus der Ferne (RCE) führen.

Das PHP-Projekt hat mitgeteilt, dass alle PHP-Installationen, die Webanfragen verarbeiten, gefährdet sind: PHP-FPM, Apache mod_php, php-cgi, FrankenPHP und LiteSpeed. Das höchste Risiko besteht bei Systemen, die Apache mod_php verwenden. Einige Sicherheitsfirmen haben berichtet, Ausnutzungsversuche beobachtet zu haben, auch bereits vor der öffentlichen Bekanntgabe der Lücken. Verschieben Sie die Aktualisierung nicht.

Korrigierte PHP-Versionen

Die Lücken wurden in den folgenden Versionen behoben: 8.2.35, 8.3.36, 8.4.27 und 8.5.12. Linux-Distributionen können Sicherheitspatches auch einspielen, ohne die Versionsnummer zu ändern; prüfen Sie daher nicht nur die Versionsnummer, sondern auch das Änderungsprotokoll (Changelog) des Pakets (siehe unten).

Ermitteln Sie zunächst, welche PHP-Version Sie verwenden. Führen Sie in der Befehlszeile den Befehl php -v aus. Das PHP, das Ihre Website betreibt, kann eine andere Version sein als die in der Befehlszeile; prüfen Sie zur Sicherheit auch in Ihrem Server-Verwaltungspanel oder auf einer phpinfo()-Seite.

Für Linux-Server (Debian und Ubuntu)

  1. Aktualisieren Sie die Paketliste:
sudo apt update
  1. Installieren Sie die Updates:
sudo apt upgrade

Wenn Sie nur die PHP-Pakete aktualisieren möchten (ersetzen Sie die Versionsnummer durch Ihre eigene Version):

sudo apt install --only-upgrade php8.3-fpm php8.3-cli php8.3-common
  1. Starten Sie den Server neu. Das aktualisierte PHP wird erst nach einem Neustart des Servers wirksam. Während des Neustarts sind die Dienste auf dem Server kurzzeitig unterbrochen; führen Sie ihn daher zu einem geeigneten Zeitpunkt durch.
sudo reboot
  1. Überprüfen Sie, ob der Patch eingespielt wurde:
php -v
zcat /usr/share/doc/php8.3-common/changelog.Debian.gz | grep -E "CVE-2026-10961[89]"

Der zweite Befehl sucht im Änderungsprotokoll des Pakets nach den beiden CVE-Nummern; wurde der Patch eingespielt, erscheint die entsprechende Zeile. Wenn Ihre PHP-Version nicht 8.3 ist, ersetzen Sie 8.3 im Befehl durch Ihre eigene Version.

Für Linux-Server (RHEL, AlmaLinux, Rocky Linux)

sudo dnf upgrade --refresh 'php*'
sudo reboot

Wenn Sie das Remi-Repository (rpms.remirepo.net) verwenden, wird das Update laut Ankündigung des PHP-Projekts in diesem Repository nicht sofort veröffentlicht; wechseln Sie zu den Paketen der Distribution selbst oder kompilieren Sie PHP aus dem Quellcode.

Für Windows-Server und -Computer

  1. Prüfen Sie Ihre Version: Führen Sie in der Eingabeaufforderung oder in PowerShell den Befehl php -v aus.
  2. Laden Sie die korrigierte Version herunter: Laden Sie auf der Windows-Downloadseite von php.net die korrigierte Version Ihres Versionszweigs (8.2.35, 8.3.36, 8.4.27 oder 8.5.12) als x64-Version herunter. Wenn Sie IIS mit FastCGI verwenden, wählen Sie die Version Non Thread Safe (NTS), wenn Sie PHP als Apache-Modul betreiben, die Version Thread Safe (TS). Die Builds erfordern das Visual C++ 2015–2022 Redistributable.
  3. Sichern Sie den vorhandenen PHP-Ordner (einschließlich php.ini und der von Ihnen verwendeten Erweiterungen), entpacken Sie die neue Version und übernehmen Sie Ihre php.ini-Einstellungen und Ihre Erweiterungen (DLL) so, dass sie mit der neuen Version kompatibel sind.
  4. Starten Sie den Webserver neu: Führen Sie für IIS in einer als Administrator geöffneten Eingabeaufforderung den Befehl iisreset aus (oder recyceln Sie den betreffenden Anwendungspool). Starten Sie für Apache den Apache-Dienst über die Windows-Dienste neu.
  5. Überprüfen Sie das Ergebnis: Der Befehl php -v und eine phpinfo()-Seite sollten anzeigen, dass die Version aktualisiert wurde.

Fertigpakete wie XAMPP, WampServer oder Laragon bringen ihr eigenes PHP mit. Installieren Sie die neueste Version des Pakets, die PHP aktualisiert, oder ersetzen Sie mit den obigen Schritten den PHP-Ordner innerhalb des Pakets. Wenn Sie diese Pakete auf einem aus dem Internet erreichbaren Server verwenden, geben Sie der Aktualisierung Vorrang.

Für Nutzer von PHP 8.1 und älteren Versionen

PHP 8.1 und ältere Versionen erhalten vom PHP-Projekt keine offiziellen Updates mehr. Einige Linux-Distributionen und Anbieter mit Langzeitunterstützung (LTS) stellen eigene Patch-Versionen bereit; lassen Sie sich dies von Ihrem Anbieter bestätigen. Wenn kein Patch angeboten wird, wechseln Sie auf eine unterstützte PHP-Version. Das PHP-Projekt hat zudem für PHP 7.4, 8.0 und 8.1 minimale Patch-Zweige für diejenigen veröffentlicht, die aus dem Quellcode kompilieren; dies ersetzt keine verwaltete Paketaktualisierung.

Vorübergehende Maßnahmen, wenn Sie nicht sofort aktualisieren können

Laut PHP-Projekt verringern diese Maßnahmen nur bestimmte Angriffswege und machen das System nicht sicher. Die dauerhafte Lösung ist die Aktualisierung.

  • Setzen Sie session.upload_progress.enabled=0 in der php.ini, im FPM-Pool oder in der Serverkonfiguration (ini_set() und .user.ini reichen nicht aus). Setzen Sie bei PHP 8.5 zusätzlich fatal_error_backtraces=0.
  • Legen Sie memory_limit=-1 so fest, dass Anwendungen es nicht ändern können (im FPM-Pool mit php_admin_value), und halten Sie post_max_size niedrig (8M, wenn kein Datei-Upload erforderlich ist, 32M, wenn doch; upload_max_filesize muss darunter bleiben).
  • Starten Sie nach der Änderung der Einstellungen alle PHP-Prozesse neu.

Prüfen Sie nach der Aktualisierung

Die Aktualisierung zeigt nicht an, ob die Lücke zuvor bereits ausgenutzt wurde. Sicherheitsfirmen berichten, dass Ausnutzungsversuche bis zum 17. Oktober 2026 zurückreichen. Prüfen Sie ab diesem Datum die Webserver-Protokolle auf ungewöhnliche Anfragen, die Webverzeichnisse auf unerwartete neue Dateien und das System auf Prozesse, die Sie nicht kennen. Bei einem Verdacht trennen Sie das System vom Netzwerk und holen Sie fachkundige Unterstützung ein.

Aktualisieren Sie auch Ihre Q-smart-Anwendung

Aktualisieren Sie nach dem Update von PHP auch Ihre Q-smart-Anwendung; die aktuelle Q-smart-Version arbeitet kompatibel mit dem neuen PHP. Q-smart-Updates sind kostenlos, und wir bieten lebenslangen Update-Support. Um Ihre Anwendung zu aktualisieren, nehmen Sie die Unterstützung unseres technischen Supportteams in Anspruch.

Technischer Support

Wenn Sie dieses Update nicht selbst durchführen möchten, wenn Sie auf den Servern, auf denen Ihre Q-smart-Systeme laufen, Hilfe benötigen oder wenn Sie nicht sicher sind, ob Ihre Systeme betroffen sind, wenden Sie sich für technischen Support an unser Unternehmen: Unsere Kontaktseite.

Quellen: Offizielle Ankündigung des PHP-Projekts, „Security advisory: Critical remote code execution vulnerabilities, update now“ (21. Oktober 2026). Versions-Downloads: php.net/downloads.php.

Nach oben scrollen