Die Meldungen zu zwei kritischen Sicherheitslücken in PHP werfen bei vielen IT-Verantwortlichen die Frage auf: Welche unserer Anwendungen sind betroffen? Für unsere Kunden und Partner geben wir hier eine klare Einordnung für den Einsatz unserer Software.
Die folgenden Produkte der mosaic IT GmbH sind von den Schwachstellen CVE-2026-109618 und CVE-2026-109619 nicht betroffen:
Sie können diese Produkte uneingeschränkt weiter nutzen. Aufgrund dieser beiden PHP-Sicherheitslücken ist weder ein zusätzliches Update noch eine Konfigurationsänderung erforderlich. Allgemeine Update- und Wartungsempfehlungen gelten weiterhin.
Die beiden Lücken sind jeweils mit CVSS 9.2 bewertet. Sie erlauben Angreifern, ohne Anmeldung Code auf dem Server auszuführen. Betroffen ist jede PHP-Installation, die Webanfragen verarbeitet, unter anderem PHP-FPM, Apache mit mod_php und php-cgi.
Das PHP-Projekt hat am 21. Oktober 2026 die korrigierten Versionen 8.5.12, 8.4.27, 8.3.36 und 8.2.35 veröffentlicht. Das Computer-Notfallteam der EU-Institutionen (CERT-EU) empfiehlt, betroffene Systeme sofort zu aktualisieren. Wo das nicht möglich ist, sollten aus dem Internet erreichbare Anwendungen vorübergehend vom Netz getrennt werden. Konfigurationsänderungen senken das Risiko nur teilweise, sie ersetzen das Update nicht.
Laut CERT-EU nutzen viele kommerzielle Produkte PHP im Hintergrund, ohne dass es von außen sichtbar ist. Ein Blick auf die eigenen Webserver reicht deshalb nicht aus. Diese Fragen helfen bei der Bestandsaufnahme:
Die offiziellen Meldungen finden Sie beim PHP-Projekt und bei CERT-EU (Security Advisory 2026-018).
Sie haben Fragen zu Ihrer Installation oder brauchen Unterstützung bei der Prüfung anderer Anwendungen? Wenden Sie sich gerne an Ihren Ansprechpartner bei mosaic IT oder schreiben Sie uns an info@mosaic-it.de.
Stand dieser Information: 22. Oktober 2026.