PHP-Lücken
Zwei kritische Sicherheitslücken in PHP, behoben am 21. Oktober 2026. Hier findest du die Einordnung, die Fixstände und die Quellen.
Beide Lücken betreffen laut den Advisories des PHP-Projekts die Zweige 8.2, 8.3, 8.4 und 8.5. Das PHP-Projekt bewertet beide als kritisch und nennt das Update auf einen korrigierten Stand als einzige vollständige Abhilfe. Diese Seite beschreibt die Lücken bewusst nur allgemein.
Codeausführung nach Speichermangel-Abbruch (OOM)
Bei Speichermangel konnte PHP eine Anfrage in einem teilweise initialisierten Zustand verlassen, der beim Aufräumen weiterverarbeitet wurde (Use-after-free). Laut Advisory ist aus der Ferne ohne Anmeldung eine Codeausführung möglich.
Codeausführung durch veralteten globalen Zustand
In langlebigen Worker-Prozessen wurde anfragebezogener globaler Zustand nicht zurückgesetzt, bevor der Speicher der Anfrage freigegeben wurde (Use-after-free). Eine spätere Anfrage an denselben Worker konnte darauf zugreifen.
| Zweig | Fix enthalten |
|---|---|
| PHP 8.2 | ab 8.2.35 |
| PHP 8.3 | ab 8.3.36 |
| PHP 8.4 | ab 8.4.27 |
| PHP 8.5 | ab 8.5.12 |
Verglichen wird immer innerhalb des jeweiligen Zweigs: 8.3.35 liegt unter dem Fixstand, 8.4.27 erreicht ihn. Ein einziger globaler Mindestwert wäre falsch.
PHP 8.1 und ältere Zweige erhalten vom PHP-Projekt keine Updates mehr. PHP 8.2 erreicht laut php.net am 31.12.2026 das Ende der Unterstützung.
Die Advisories beschreiben Auswirkungen für mehrere Server-Schnittstellen, darunter das Apache-Modul, PHP-FPM, LSAPI und FrankenPHP – mit unterschiedlich weit bestätigten Angriffswegen. PHP-FPM ist daher nicht pauschal ausgenommen. Aktualisiere alle PHP-Laufzeiten, die deine Website ausführen, und starte sie nach dem Update neu.
Distributionen können Korrekturen in ältere Paketversionen übernehmen. Ob das für dein Paket gilt, belegt nur der Sicherheitshinweis des jeweiligen Herstellers für genau diese Paketversion und beide CVE-Kennungen. Solange kein solcher Nachweis vorliegt, ordnet PHP Checker ältere Basisversionen mit Herstellerrevision als „Herstellerprüfung erforderlich“ ein.
Referenzstand: fachlich geprüft am 21. Oktober 2026 · Datenversion 2026-10-21.1. Der Referenzstand wird nur nach einer tatsächlichen fachlichen Prüfung der Quellen aktualisiert.