Das PHP-Sicherheitsteam weist vorab auf ein bevorstehendes Sicherheitsupdate hin.
Die Veröffentlichung ist für Mittwoch, den 21. Oktober 2026, um 14:00 UTC (16:00 UTC+2) geplant.
Das Update behebt zwei kritische Schwachstellen, die beide mit CVSS v4.0 9.2 bewertet sind.
Allen PHP-Nutzerinnen und -Nutzern wird empfohlen, sich bereits jetzt vorzubereiten, um sofort nach Verfügbarkeit des Updates aktualisieren zu können.
Das PHP-Sicherheitsteam behält sich vor, das Update früher zu veröffentlichen, falls Details zu einer der beiden Schwachstellen öffentlich werden oder Hinweise auf eine aktive Ausnutzung auftauchen.
Vollständige Details, betroffene Versionen und die korrigierten Versionen werden zusammen mit dem Update veröffentlicht.
Update #1: 21.10.2026
Inzwischen ist ein Exploitcode im Internet aufgetaucht. Wir können jedoch nicht bestätigen, ob dieser auch funktional ist. Da die Erstellung eines funktionalen Exploits durch Reverse Engineering des Patches erheblich erleichtert wird, gehen wir davon aus, dass eine Ausnutzung zeitnah nach der offiziellen Veröffentlichung des Patches stattfinden wird.
Wir rechnen auch mit einer zeitlichen Verzögerung zwischen Release und Verfügbarkeit in den jeweiligen Repositories. Sie können in Erwägung ziehen, manuell zu patchen.
Angeblich sollen alle Versionen bis v5 von der Schwachstelle betroffen sein, teilweise sollen Backports erscheinen.
Wir würden Ihnen empfehlen, in der Zwischenzeit die Systeme zu finden, auf denen PHP im Einsatz ist, und ein Update-Zeitfenster für heute um 16:00 Uhr einzuplanen. Wenn möglich, können Sie auch in Erwägung ziehen, Systeme herunterzufahren.
Lesen Sie den originalen Artikel: