Kritische PHP-Schwachstellen (CVE-2026-109618 und CVE-2026-109619): So schützen Sie Ihre Bare Metal- und VPS-Server

Das PHP-Projekt hat am 21. Oktober 2026 wichtige Patches für zwei kritische Sicherheitslücken veröffentlicht. Wenn PHP auf einem Ihrer Bare-Metal-Dedicated-Server oder VPS läuft, erfahren Sie hier Schritt für Schritt, wie Sie prüfen, ob Sie betroffen sind, und wie Sie sich schützen.

Dieser Blogbeitrag richtet sich an unsere Kunden mit Dedicated Servern und VPS. Kunden von Web Cloud und Shared Hosting erhalten automatisch eine aktualisierte PHP-Komponente.

Das Wichtigste auf einen Blick

Was passiert – einfach erklärt

Die beiden Sicherheitslücken betreffen den Kern von PHP und nicht ein bestimmtes CMS oder Framework. Sie betreffen die Art und Weise, wie PHP seinen Speicher zwischen zwei Anfragen verwaltet:

• CVE-2026-109618: Eine absichtlich überdimensionierte Anfrage (zum Beispiel ein Formularversand) bringt PHP dazu, seinen Speicher zu erschöpfen und Daten in einem inkonsistenten Zustand zu hinterlassen.
• CVE-2026-109619: Informationen aus einer vorherigen Anfrage bleiben im Speicher, obwohl sie gelöscht werden müssten, und werden von der nächsten Anfrage wiederverwendet.

In beiden Fällen kann ein Angreifer eigenen Code auf Ihrem Server ausführen – mit den Rechten Ihres Webservers. Er benötigt dafür weder ein Konto noch ein Passwort: Eine Verbindung zu Ihrer Website genügt. Die Forscher haben die Ausnutzung nachgewiesen, insbesondere mit Apache (mod_php) und PHP-FPM, den beiden gängigsten Konfigurationen.

Sind Sie betroffen? In zwei Minuten prüfen

Sie sind insbesondere betroffen, wenn PHP eine Website oder Anwendung auf einem Ihrer Bare-Metal-Server (Kimsufi, So you Start, Rise, Advance, Scale, High Grade) oder auf einem OVHcloud VPS bereitstellt.

Verbinden Sie sich per SSH und geben Sie Folgendes ein:

php -v

Vergleichen Sie das Ergebnis mit dieser Tabelle:

Gut zu wissen: Die in der Kommandozeile angezeigte Version kann von der Version abweichen, die Ihre Website nutzt – vor allem, wenn mehrere PHP-Versionen installiert sind. Prüfen Sie im Zweifelsfall auch die Version in der Konfiguration Ihres Webservers oder Ihres Admin-Panels (Plesk, cPanel …).

Schritt für Schritt aktualisieren

Das Update sollte pro Server nicht länger als etwa fünfzehn Minuten dauern. Wir empfehlen, zuerst die Server zu aktualisieren, die aus dem Internet erreichbar sind.

Erstellen Sie ein Backup. Auf einem VPS genügt ein Snapshot über das OVHcloud Kundencenter. Auf einem Bare-Metal-Server sichern Sie mindestens Ihre Konfigurationsdateien und Ihre Daten.

Aktualisieren Sie die PHP-Pakete mit dem Paketmanager Ihrer Distribution:

• Debian / Ubuntu: sudo apt update && sudo apt upgrade
• AlmaLinux / Rocky Linux: sudo dnf upgrade
• Aus dem Quellcode kompiliertes PHP: Laden Sie die korrigierte Version auf php.net herunter
• Docker-Container: Bauen Sie Ihre Images auf Basis eines aktuellen PHP-Images neu und deployen Sie sie erneut

Starten Sie Ihre PHP-Dienste neu. Dieser Schritt wird am häufigsten vergessen: Ohne Neustart läuft die alte Version im Speicher weiter.

• PHP-FPM: sudo systemctl restart php8.x-fpm (Debian/Ubuntu, x durch Ihre Version ersetzen) oder sudo systemctl restart php-fpm
• Apache: sudo systemctl restart apache2 oder sudo systemctl restart httpd

Prüfen Sie mit php -v, ob die korrigierte Version aktiv ist und Ihre Website normal funktioniert.

Falls Ihre Distribution die korrigierte Version noch nicht anbietet, schauen Sie regelmäßig wieder nach: Manche Repositorys veröffentlichen Updates mit einigen Stunden Verzögerung. Wenden Sie bis dahin die folgenden vorübergehenden Maßnahmen an.

Sie können nicht sofort aktualisieren?

Das PHP-Projekt ist eindeutig: Nur das Update schützt Ihren Server vollständig. Die folgenden Einstellungen aus den offiziellen Sicherheitshinweisen verringern das Risiko in der Zwischenzeit. Sie werden in Ihrer php.ini gesetzt und erfordern anschließend einen Neustart von PHP-FPM oder Apache.

• Deaktivieren Sie die Fortschrittsanzeige für Datei-Uploads: session.upload_progress.enabled = 0. Diese Funktion wird selten genutzt, und PHP empfiehlt, sie auch nach dem Update deaktiviert zu lassen.
• Nur unter PHP 8.5: fatal_error_backtraces = 0.
• Wenn Ihre Anwendung keine Formulare mit Datei-Upload verwendet, blockieren Sie diese Art von Anfragen (multipart) auf Ebene Ihres Webservers oder Proxys.

PHP erwähnt außerdem die Aufhebung des Speicherlimits (memory_limit = -1). Wir raten, damit vorsichtig umzugehen: Eine einzige Anfrage könnte dann den gesamten Arbeitsspeicher Ihres Servers belegen.

Nutzen Sie noch PHP 8.1 oder älter? Diese Versionen erhalten keinen Patch. Wenden Sie diese Maßnahmen noch heute an und planen Sie so schnell wie möglich eine Migration auf PHP 8.4 oder 8.5.

Wir unterstützen Sie

Auf einem Bare-Metal-Server oder VPS behalten Sie die volle Kontrolle über Ihr System: Ohne Ihre Zustimmung nehmen wir keinerlei Eingriffe an Ihren Instanzen vor. Deshalb ist es uns wichtig, Ihnen alle Informationen an die Hand zu geben, damit Sie schnell und mit Ruhe handeln können.

Unsererseits aktualisieren wir die zur Installation verfügbaren OS-Images und informieren Kunden, deren Instanzen offenbar exponiert sind. Wir ergänzen diesen Artikel, sobald neue Informationen veröffentlicht werden.

Haben Sie eine Frage oder Zweifel an Ihrer Konfiguration? Unsere Support-Teams sind für Sie da, und unsere Partner können Sie beim Update oder bei der Migration Ihrer PHP-Versionen begleiten.

Weiterführende Informationen

• Offizielle PHP-Ankündigung und Download der korrigierten Versionen
• Sicherheitshinweis CVE-2026-109618
• Sicherheitshinweis CVE-2026-109619
• Unterstützte PHP-Versionen