Entdeckt wurden die beiden Schwachstellen von Sicherheitsforschern von Calif, Wiz und OpenAI. Als besonders gefährdet stuft das PHP-Sicherheitsteam mod_php ein: „Wir sehen das Risiko für mod_php am höchsten, mit einem demonstrierten Exploit, bei dem eine nicht authentifizierte Anfrage den Angriff auslösen kann, bevor überhaupt Anwendungscode ausgeführt wird."

Beide Lücken gehen auf dieselbe Grundursache zurück: PHP kann seinen Speicher in einem beschädigten Zustand zurücklassen, wenn eine Anfrage unnormal endet. Über CVE-2026-109618 lässt sich durch eine Kette von Schwächen, die eine Speicherbeschädigung bei Speichererschöpfung auslösen, Codeausführung im Kontext des Web-Worker-Kontos erreichen. CVE-2026-109619 betrifft veralteten globalen Zustand (stale global state) und ermöglicht ohne Authentifizierung ein Use-after-free auf dem Heap, das Auslesen von Speicherinhalten sowie Codeausführung mit den Rechten des Web-Workers.

Administratoren sollten auf Servern mit PHP 8.x schnellstmöglich eine der folgenden Versionen einspielen:

  • PHP 8.5.12
  • PHP 8.4.27
  • PHP 8.3.36
  • PHP 8.2.35

Wer noch PHP 7 oder älter einsetzt, soll auf eine fehlerbereinigte Version migrieren. „PHP 8.1 und älter erhalten keine Updates mehr vom PHP-Projekt. Einige Distributionen und LTS-Anbieter stellen zurückportierte Fixes bereit, wenden Sie sich daher an Ihren Anbieter oder steigen Sie auf eine unterstützte Version um", so die PHP-Entwickler. „Angesichts der Schwere dieser Schwachstellen hat das PHP-Sicherheitsteam minimale Quellcode-Backports für PHP 7.4, PHP 8.0 und PHP 8.1 bereitgestellt, um Nutzern zu helfen, die aus den Quellen bauen oder keinen Zugang zu einem LTS-Anbieter haben."

Bereits am Dienstag hatten die PHP-Entwickler Administratoren aufgefordert, sich auf die Updates vorzubereiten: „Alle PHP-Nutzer sind aufgefordert, sich jetzt vorzubereiten, damit sie aktualisieren können, sobald die Veröffentlichung verfügbar ist." Man behalte sich vor, früher zu veröffentlichen, falls Details zu einer der Schwachstellen öffentlich würden oder Hinweise auf aktive Ausnutzung aufträten.

PHP-Kernentwicklerin Gina Peter Banyard wies darauf hin, dass keine der Abhilfemaßnahmen mögliche Angriffe vollständig blockiert und nur das Einspielen der offiziellen Sicherheitspatches dauerhaften Schutz bietet. Cloudflare-CTO Dane Knecht bestätigte noch vor Erscheinen der Patches, dass sein Unternehmen bereits erste Angriffe auf die beiden Schwachstellen beobachtet habe; Cloudflare hatte zuvor WAF-Regeln gegen bekannte Ausnutzungsmethoden ausgerollt. Knecht betonte jedoch, dass dieser Schutz nur vorübergehend sei, und rief alle Administratoren dazu auf, die PHP-Updates sofort nach Verfügbarkeit zu installieren. Das britische National Cyber Security Centre (NCSC) forderte Organisationen im Vereinigten Königreich auf, Systeme mit PHP unverzüglich zu aktualisieren oder bis zum Patch vom Netz zu nehmen.

Für alle, die nicht sofort patchen können, nennt das PHP-Sicherheitsteam Maßnahmen, die die Angriffsfläche einiger Angriffswege verringern, ohne vollständig vor Ausnutzung zu schützen. Für CVE-2026-109618:

  • memory_limit=-1 setzen, möglichst so, dass Anwendungen den Wert nicht überschreiben können, etwa per php_admin_value im FPM-Pool oder in der Apache-Konfiguration
  • post_max_size niedrig halten: 8M für Anwendungen ohne Datei-Uploads, 32M, wenn Uploads nötig sind
  • Container- oder cgroup-Limits als Verfügbarkeitsgrenze nutzen, vorzugsweise mit einer Richtlinie, die nur den betroffenen Worker beendet

Für CVE-2026-109619:

  • session.upload_progress.enabled=0 setzen und jeden Worker neu starten
  • unter PHP 8.5 zusätzlich fatal_error_backtraces=0 setzen und jeden Worker neu starten – dies blockiert allein den bestätigten Pfad über Fatal-Error-Backtraces
  • ungültige oder veraltete, pro Anfrage gesetzte Einstellungen entfernen, die vor der Initialisierung Diagnosemeldungen erzeugen
  • vom Angreifer erreichbare Fatal Errors und Ausführungs-Timeouts beheben, einschließlich Fehlern in Callbacks, bei Upload- und Importverarbeitung sowie beim Aufräumen

Das Ausblenden von Diagnosemeldungen über error_reporting, display_errors oder @ hilft dagegen nicht.

PHP treibt nach Angaben des Projekts 75 bis 80 Prozent aller Websites an, darunter Installationen von Content-Management-Systemen wie WordPress, Joomla und Drupal. Schätzungen von VirusTotal zufolge sind über 5,1 Millionen PHP-Hosts online erreichbar, rund 3,8 Millionen davon mit mindestens einem offenen Port.