Folgende kritische Sicherheitslücke wurde veröffentlicht:

PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35 beheben zwei kritische Sicherheitslücken, die die Ausführung von Code aus der Ferne ohne Authentifizierung ermöglichen können. Allen PHP-Nutzern wird dringend empfohlen, unverzüglich ein Update durchzuführen.

Wer ist gefährdet: alle PHP-Installationen, die Webanfragen bedienen, einschließlich PHP-FPM, Apache mit mod_php, php-cgi, FrankenPHP und LiteSpeed. Wir stufen das Risiko für mod_php als am höchsten ein, da ein nachgewiesener Exploit vorliegt, bei dem eine nicht authentifizierte Anfrage den Angriff auslösen kann, noch bevor Anwendungscode ausgeführt wird.

Die Sicherheitslücken:

• RCE über OOM-Korruption, CVE-2026-109618 (GHSA-w8hw-w9fx-j79w): Die Behandlung von Speicherüberlauf kann PHP unterbrechen, während interne Anfragedaten nur teilweise initialisiert sind. Bei der Bereinigung der Anfrage werden die ungültigen Daten dann möglicherweise als gültig behandelt.
• RCE über veralteten globalen Status, CVE-2026-109619 (GHSA-6wmf-4rv5-p3rp): Der anfragebezogene interne Status kann bestehen bleiben, nachdem der ihm zugrunde liegende Speicher freigegeben wurde. Eine spätere Anfrage, die vom selben Worker bearbeitet wird, kann diesen veralteten Status nutzen, bevor er durch die normale Initialisierung zurückgesetzt wird.