PHP kündigt kritisches Sicherheitsupdate für zwei Schwachstellen an
Das PHP-Sicherheitsteam hat ungewöhnlich früh auf ein kommendes Sicherheitsupdate hingewiesen. Grund dafür sind zwei kritische Schwachstellen, die jeweils mit CVSS v4.0 9,2 bewertet wurden.
Die Veröffentlichung der Sicherheitsupdates ist für Mittwoch, den 21. Oktober 2026, um 14:00 Uhr UTC vorgesehen.
Administratoren und Betreiber von PHP-Systemen sollten sich deshalb bereits jetzt darauf vorbereiten, die neuen Versionen möglichst zeitnah einzuspielen.
Was genau hinter den beiden Sicherheitslücken steckt, verrät das PHP-Team vor der Veröffentlichung bewusst noch nicht.
Zwei Schwachstellen mit CVSS 9,2
Eine Bewertung von 9,2 von maximal 10 Punkten bedeutet zunächst einmal: Das Thema sollte ernst genommen werden.
Der CVSS-Wert beschreibt die technische Schwere einer Schwachstelle. Eine Bewertung in dieser Größenordnung landet klar in der Kategorie kritisch.
Welche Komponenten von PHP betroffen sind und unter welchen Bedingungen sich die Sicherheitslücken ausnutzen lassen, wurde in der Vorankündigung allerdings noch nicht veröffentlicht.
Auch die betroffenen PHP-Versionen sind zum jetzigen Zeitpunkt noch nicht offiziell genannt.
Das finde ich bei solchen Meldungen wichtig: Nicht mehr behaupten, als tatsächlich bekannt ist.
Aktuell wissen wir, dass zwei kritische Schwachstellen behoben werden sollen. Die technischen Details kommen mit dem eigentlichen Security Release.
PHP-Team warnt bewusst vorab
Dass das PHP-Sicherheitsteam überhaupt eine Vorankündigung veröffentlicht, ist bereits ein ziemlich deutliches Signal.
Normalerweise möchte man Details zu kritischen Sicherheitslücken nicht unnötig früh verbreiten. Schließlich könnten diese Informationen Angreifern helfen, bevor Administratoren ihre Systeme aktualisieren können.
Diesmal sollen Betreiber offenbar zumindest organisatorisch vorbereitet sein.
Wer selbst einen PHP-Server betreibt, sollte also nicht erst nach Veröffentlichung anfangen zu überlegen:
- Welche PHP-Version läuft eigentlich?
- Wo befinden sich die betreffenden Server?
- Wie wird PHP aktualisiert?
- Welche Anwendungen hängen davon ab?
- Gibt es ein aktuelles Backup?
- Kann ein Update kurzfristig getestet und eingespielt werden?
Solche Dinge lassen sich sinnvollerweise vorher klären.
Veröffentlichung ist für 14:00 Uhr UTC geplant
Der geplante Termin lautet:
21. Oktober 2026, 14:00 Uhr UTC
In Deutschland entspricht das an diesem Tag 16:00 Uhr MESZ.
Zu diesem Zeitpunkt sollen die neuen Sicherheitsversionen zusammen mit weiteren Informationen veröffentlicht werden.
Dann dürfte auch klar werden:
- welche PHP-Versionen betroffen sind
- welche Versionen die Fehler beheben
- worin die Schwachstellen technisch bestehen
- welche konkreten Auswirkungen möglich sind
- ob zusätzliche Maßnahmen notwendig werden
Bis dahin bleibt bewusst einiges offen.
Update könnte sogar früher erscheinen
Interessant ist außerdem ein Hinweis des Sicherheitsteams.
Sollten vor dem geplanten Termin technische Details zu einer der Sicherheitslücken öffentlich werden oder Hinweise auf eine aktive Ausnutzung auftauchen, behält sich das PHP-Team eine vorzeitige Veröffentlichung vor.
Das ist durchaus sinnvoll.
Sobald Angreifer ausreichende Informationen besitzen, läuft bei kritischen Schwachstellen im Grunde die Uhr.
Dann bringt es wenig, an einem ursprünglich geplanten Veröffentlichungstermin festzuhalten.
PHP ist auf sehr vielen Servern im Einsatz
Die Meldung ist auch deshalb relevant, weil PHP weiterhin auf unzähligen Webservern eingesetzt wird.
Neben individuell entwickelten Webseiten und Anwendungen basieren zahlreiche bekannte Content-Management- und Shopsysteme auf PHP.
Für viele Betreiber läuft PHP dabei eher unsichtbar im Hintergrund.
Man aktualisiert WordPress, ein Plugin oder eine Webanwendung – die darunterliegende PHP-Version wird dagegen gerne einmal vergessen.
Gerade bei einem kritischen Security Release sollte man deshalb auch die Laufzeitumgebung selbst kontrollieren.
CMS-Update und PHP-Update sind nicht dasselbe
Ein Punkt, der meiner Erfahrung nach gerne durcheinandergebracht wird:
Wenn beispielsweise ein CMS aktualisiert wird, bedeutet das nicht automatisch, dass damit auch PHP auf dem Server aktualisiert wurde.
PHP wird normalerweise auf Ebene des Servers beziehungsweise beim Hosting-Anbieter verwaltet.
Wer einen eigenen Server betreibt, muss sich selbst darum kümmern.
Bei klassischem Webhosting hängt es dagegen vom Anbieter und dem gewählten Tarif ab.
Deshalb lohnt sich nach Veröffentlichung der Updates ein Blick in die Hosting-Verwaltung oder auf den eigenen Server.
Jetzt schon die installierte PHP-Version prüfen
Noch bevor die Updates erscheinen, kann man zumindest feststellen, welche PHP-Version aktuell eingesetzt wird.
Auf einem Server lässt sich das beispielsweise über die Kommandozeile prüfen:
php -vDas zeigt die installierte PHP-Version.
Bei Hosting-Paketen findet man die verwendete Version häufig direkt in der Verwaltungsoberfläche.
Welche Versionen konkret aktualisiert werden müssen, wissen wir allerdings erst nach Veröffentlichung der offiziellen Details.
Deshalb würde ich jetzt noch nicht anfangen, aufgrund von Spekulationen hektisch irgendwelche Konfigurationen umzubauen.
Vorbereiten ja – raten nein.
Auch Backups gehören zur Vorbereitung
Vor einem größeren PHP-Update würde ich ohnehin sicherstellen, dass ein aktuelles Backup vorhanden ist.
Das gilt besonders für produktive Webseiten.
Dazu gehören je nach Anwendung:
- Webdateien
- Datenbanken
- Konfigurationsdateien
- individuelle Anpassungen
Natürlich sollte ein Sicherheitsupdate möglichst schnell installiert werden.
Schnell bedeutet aber nicht, dass man ohne jede Absicherung direkt auf einem wichtigen Produktivsystem experimentieren muss.
Idealerweise existiert zumindest eine Möglichkeit, im Fehlerfall wieder auf einen funktionierenden Zustand zurückzukehren.
Nicht jede Anwendung verträgt jede PHP-Version
Bei PHP-Updates gibt es noch einen zweiten Punkt.
Die Sicherheitskorrekturen selbst sind notwendig, aber ältere Anwendungen können teilweise empfindlich auf einen Versionswechsel reagieren.
Das betrifft beispielsweise alte Plugins, Themes, Frameworks oder selbst entwickelte Software.
Deshalb wird interessant sein, welche bestehenden PHP-Zweige Sicherheitsupdates erhalten.
Wenn ein Patch innerhalb der bereits verwendeten PHP-Version angeboten wird, ist das normalerweise wesentlich unkomplizierter als ein kompletter Versionssprung.
Die genauen aktualisierten Versionen will das PHP-Team aber erst zusammen mit der Veröffentlichung nennen.
Keine Panik, aber vorbereitet sein
Bei „zwei kritischen Schwachstellen mit 9,2 Punkten“ lässt sich natürlich leicht eine dramatische Überschrift bauen.
Viel wichtiger finde ich im Moment aber die praktische Konsequenz.
Es gibt eine offizielle Vorwarnung.
Damit haben Administratoren etwas Zeit, ihre Umgebung zu prüfen und sich auf ein kurzfristiges Update vorzubereiten.
Mehr lässt sich vor der eigentlichen Veröffentlichung seriös kaum sagen.
Wir kennen bislang weder die technischen Angriffsmöglichkeiten noch die tatsächlich betroffenen Versionen.
Mein Eindruck
Dass das PHP-Team die Veröffentlichung vorher ankündigt, würde ich als Hinweis verstehen, das Update diesmal nicht tagelang liegenzulassen.
Wer einen eigenen Webserver verwaltet, kann die Zeit sinnvoll nutzen und zumindest PHP-Version, Backup-Status und Update-Prozess überprüfen.
Für mich ist das deutlich sinnvoller, als jetzt auf Basis noch unbekannter Details wilde Szenarien zu entwickeln.
Sobald die vollständigen Informationen verfügbar sind, wird sich zeigen, wie groß das tatsächliche Risiko in verschiedenen Konfigurationen ist.
Fazit
Das PHP-Sicherheitsteam kündigt für den 21. Oktober 2026 um 14:00 Uhr UTC ein wichtiges Sicherheitsupdate an.
Behoben werden sollen zwei kritische Schwachstellen, die jeweils einen CVSS-v4.0-Wert von 9,2 besitzen.
Welche PHP-Versionen betroffen sind und welche technischen Auswirkungen die Sicherheitslücken haben, soll erst mit dem eigentlichen Release bekannt gegeben werden.
Sollten vorher Details öffentlich werden oder Anzeichen für aktive Angriffe auftauchen, kann das PHP-Team die Updates auch früher veröffentlichen.
Für Administratoren heißt das vorerst:
PHP-Version prüfen, Backups kontrollieren und darauf vorbereitet sein, die kommenden Sicherheitsupdates zeitnah einzuspielen.
Weitere technische Details lassen sich sinnvoll erst bewerten, wenn das PHP-Team sie offiziell veröffentlicht.
Quelle
PHP – Upcoming Critical PHP Security Release
Offizielle Ankündigung auf PHP.net
PHP Foundation – Ankündigung des Security Releases
PHP Foundation Discourse