Zwei kritische PHP-Sicherheitslücken: Korrekturen bei all2all eingespielt
Das PHP-Projekt hat am 21. Oktober 2026 Korrekturen für zwei kritische Sicherheitslücken veröffentlicht: CVE-2026-109618 und CVE-2026-109619. Sie können die Ausführung von Code aus der Ferne ohne Anmeldung ermöglichen.
all2all hat die Sicherheitsupdates unmittelbar nach ihrer Veröffentlichung, kurz nach 16 Uhr Brüsseler Zeit, auf allen Webhosting-Servern eingespielt. Aktuelle PHP-Versionen erhielten die neuen korrigierten Versionen; ältere Versionen auf unseren Servern erhielten ebenfalls rückportierte Sicherheitskorrekturen.
Diese Maßnahme ändert die für jede Website gewählte PHP-Hauptversion nicht.
Auch ältere PHP-Versionen haben die Korrekturen erhalten
Die Updates betreffen auch ältere PHP-Versionen, die auf unseren Hosting-Systemen noch verwendet werden. Über Pakete aus der Sury-Paketquelle erhalten diese Versionen rückportierte Sicherheitskorrekturen, auch Backports genannt.
Bei einem Backport wird eine Korrektur an einen älteren PHP-Versionszweig angepasst, ohne einen Wechsel auf eine neue Hauptversion zu verlangen. So wird die Sicherheitslücke behoben und die Kompatibilität mit bestehenden Websites so weit wie möglich erhalten.
Warum scheint die Versionsnummer unverändert?
Bei diesen älteren Versionszweigen kann die PHP-Versionsnummer gleich bleiben: PHP 5.6.40 bleibt beispielsweise PHP 5.6.40. Die Paketrevision hinter dem Bindestrich ändert sich und kennzeichnet die neue Paketausgabe mit den Korrekturen. Es handelt sich dabei nicht um eine neue PHP-Minorversion.
Bei neueren Versionszweigen ändert sich auch die PHP-Patchnummer: PHP 8.2 wird beispielsweise auf 8.2.35 aktualisiert. In allen Fällen bleibt der für die jeweilige Website gewählte PHP-Versionszweig erhalten.
Installierte Versionen und korrigierte Pakete
Die folgende Tabelle enthält sämtliche PHP-Versionszweige, die nach der Bereitstellung am 21. Oktober 2026 auf unserer Infrastruktur erfasst wurden. Ihre Änderungsprotokolle nennen ausdrücklich die Korrekturen für CVE-2026-109618 und CVE-2026-109619.
| PHP-Versionszweig | Installierte PHP-Version | Korrigiertes Sury-Paket (gekürzt) |
|---|---|---|
| PHP 5.6 | 5.6.40 |
5.6.40-104… |
| PHP 7.0 | 7.0.33 |
7.0.33-92… |
| PHP 7.1 | 7.1.33 |
7.1.33-80… |
| PHP 7.2 | 7.2.34 |
7.2.34-66… |
| PHP 7.3 | 7.3.33 |
7.3.33-35… |
| PHP 7.4 | 7.4.33 |
7.4.33-31… |
| PHP 8.0 | 8.0.30 |
8.0.30-25… |
| PHP 8.1 | 8.1.34 |
8.1.34-9… |
| PHP 8.2 | 8.2.35 |
8.2.35-1… |
| PHP 8.3 | 8.3.36 |
8.3.36-1… |
| PHP 8.4 | 8.4.27 |
8.4.27-1… |
| PHP 8.5 | 8.5.12 |
8.5.12-1… |
Die Paketnamen sind abgekürzt: Der vollständige Zusatz enthält unter anderem das Erstellungsdatum und die Debian-Distribution. Auch das technische Debian-Präfix 1:, das bei einigen Paketen vorkommt, wurde in der Tabelle weggelassen.
Ein Werkzeug, das nur „PHP 5.6.40“ oder „PHP 7.4.33“ anzeigt, kann daher nicht feststellen, ob diese Korrekturen installiert sind: Dazu muss auch die vollständige Paketrevision geprüft werden.
Diese Backports stellen die offizielle Unterstützung älterer Versionszweige durch das PHP-Projekt nicht wieder her. Sie schützen vor den durch die Korrekturen behobenen Sicherheitslücken; ein Wechsel auf einen offiziell gepflegten PHP-Versionszweig bleibt empfehlenswert.