PHP: Kritische Sicherheitslücken lösen europaweite Update-Warnung aus

Fakten: ENISA, CERT-EU und weitere europäische Stellen warnten am 21. Oktober vor zwei kritischen PHP-Schwachstellen, CVE-2026-109618 und CVE-2026-109619. Sie können nicht authentifizierte Codeausführung auf betroffenen Servern ermöglichen. Das PHP-Projekt veröffentlichte Sicherheitsupdates für die unterstützten Versionszweige. Die Behörden empfehlen, auch Produkte mit eingebetteter PHP-Laufzeit zu erfassen und Hostinganbieter einzubeziehen.

Einordnung: Für Webanwendungen und ERP-nahe Portale zählt die tatsächlich eingesetzte Laufzeit, nicht allein die sichtbare Anwendung. Betreiber sollten die offiziellen Versionshinweise und Anbieterinformationen prüfen; aus der Warnung folgt nicht, dass jede Website betroffen ist.

Quellen: https://www.enisa.europa.eu/news/joint-statement-on-critical-php-vulnerabilities https://www.php.net/archive/2026.php