Am 21. Oktober 2026 hat das PHP-Projekt Sicherheitsupdates für zwei kritische Schwachstellen veröffentlicht: CVE-2026-109618 und CVE-2026-109619. CERT-EU hatte bereits einen Tag zuvor davor gewarnt. Beide haben einen CVSS-4.0-Wert von 9,2 und können laut PHP-Projekt zu Codeausführung aus der Ferne führen, ohne dass sich ein Angreifer anmelden muss.
Worum geht es?
Beide Schwachstellen betreffen Speicher, der zwischen aufeinanderfolgenden Anfragen nicht korrekt bereinigt wird. Bei der ersten bleibt nach einem Speichermangel (Out of Memory) Speicher in einem nicht initialisierten Zustand zurück; bei der zweiten verweist interner, globaler Zustand noch auf bereits freigegebenen Speicher. Eine nachfolgende Anfrage kann damit weiterarbeiten. Der Angriff ist nicht trivial (CVSS: hohe Angriffskomplexität und bestimmte Voraussetzungen), doch das PHP-Projekt ist eindeutig: Es gibt keine vollständigen Gegenmaßnahmen, ein Update ist die einzig sichere Wahl.
Behobene Versionen: PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35.
Warum das auch OT betrifft
PHP ist keine typische OT-Komponente, kommt in OT-Umgebungen aber häufiger vor, als man denkt:
- Web-Verwaltungsoberflächen von Gateways, industriellen Routern sowie einigen Steuerungen und HMI-Panels.
- Unterstützende Systeme rund um den Prozess, etwa Reporting- und Monitoring-Tools auf Windows- oder Linux-Servern in der OT-DMZ.
- Ältere Firmware, die oft eine PHP-Version enthält, die vom PHP-Projekt nicht mehr unterstützt wird. Für diese Versionen kommt kein Update vom PHP-Projekt; dann kann nur der Gerätehersteller eine neue Firmware liefern.
Ob ein bestimmtes Gerät verwundbar ist, hängt von der PHP-Version und davon ab, wie das Produkt PHP nutzt. Das muss der Hersteller feststellen; solche Advisories folgen meist erst Tage oder Wochen später.
Was Sie jetzt tun können
- Erfassen Sie, welche Systeme und Geräte in Ihrer Umgebung PHP verwenden, auch in Web-Verwaltungsoberflächen. Ein aktuelles Asset-Inventar hilft dabei.
- Patchen Sie selbst verwaltete Server auf eine der oben genannten Versionen.
- Beschränken Sie die Erreichbarkeit von Web-Verwaltungsoberflächen auf ein separates Managementsegment, besonders solange noch kein Update verfügbar ist. Eine Weboberfläche von OT-Geräten sollte nie direkt aus dem Internet erreichbar sein.
- Verfolgen Sie die Herstellerhinweise. Sobald Hersteller melden, welche Produkte betroffen sind, erscheinen diese in IACS Radar unter dem jeweiligen Hersteller und Produkt — folgen Sie ihnen über Mein Radar.
Die PHP-CVEs selbst stehen nicht in der Schwachstellenliste von IACS Radar, da PHP kein OT-Hersteller ist. Die Herstellermeldungen zu betroffenen OT-Produkten dagegen schon.
Quellen: CERT-EU Security Advisory 2026-018, php.net und die NVD-Einträge zu CVE-2026-109618 und CVE-2026-109619.