Schwachstelle vom 26. Oktober 2026 · CVE-2026-109618

PHP Use-after-free

9,8 CVSS · kritischAktiv ausgenutzt

Use-after-free in PHP. Über das Netzwerk angreifbar, ohne Anmeldung, ohne Zutun eines Nutzers. CVSS 9,8 (kritisch). Laut CISA wird die Lücke bereits ausgenutzt. Behoben in 8.2.35, 8.3.36, 8.4.27 und 8.5.12.

Sicherheitshinweis des Herstellers

github.com · Maßgeblich sind die Angaben des Herstellers.

Auf einen Blick

CVE

CVE-2026-109618

Produkt

PHP

Hersteller

The PHP Group

Betroffene Versionen

≥ 8.2.0, < 8.2.35
≥ 8.3.0, < 8.3.36
≥ 8.4.0, < 8.4.27
≥ 8.5.0, < 8.5.12

laut Hersteller bzw. CVE-Herausgeber

Behoben in

8.2.35, 8.3.36, 8.4.27, 8.5.12

CVSS

9,8 (kritisch)
CVSS 3.1, bewertet von der NVD
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Aktiv ausgenutzt

Ja, laut CISA (im KEV-Katalog seit 26. Oktober 2026)

Schwachstellentyp

CWE-416 (Use-after-free), CWE-755, CWE-824, CWE-1325

Veröffentlicht

21. Oktober 2026

Zuletzt geändert

30. Oktober 2026

Was zu tun ist

Auf eine behobene Version aktualisieren: 8.2.35, 8.3.36, 8.4.27 und 8.5.12 oder neuer, je nach eingesetztem Versionszweig.
Den Bericht des Herstellers lesen: Er nennt die genauen Versionen und, falls vorhanden, Workarounds für den Fall, dass ein Update nicht sofort möglich ist.
Weil die Lücke bereits ausgenutzt wird: nach dem Update prüfen, ob das System vorher kompromittiert wurde.
Auch Test-, Staging- und vergessene Installationen derselben Software prüfen.

Sicherheitshinweis des Herstellers ↗

Originalbeschreibung

Englisch, aus dem CVE-Eintrag. Die Zusammenfassung oben ist aus den strukturierten Daten erstellt.

PHP uses longjmp() for out-of-memory (OOM) errors to exit the current context and abort handling of the request. Some contexts may not properly account for this scenario and leave request memory in an uninitialized state before performing an allocation. The subsequent request cleanup procedure may read or branch on this memory. Multiple OOM strategies can consistently trigger this condition and lead to remote code execution (RCE).
Bezeichnung bei CISA: PHP Memory Corruption Vulnerability

Offizielle Referenzen

github.com/php/php-src/security/advisories/GHSA-w8hw-w9fx-j79wWorkaroundHersteller-Advisory
arcticwolf.com/resources/blog/php2shell-critical-php-vulnerabilities-enable-unauthenticated-remote-code-executionAdvisory Dritter
cert-portal.siemens.com/productcert/html/ssa-566512.htmlAdvisory Dritter
php2shell.delftintellab.comAdvisory Dritter
cisa.gov/known-exploited-vulnerabilities-catalogUS-Behörde
wiz.io/blog/php2shell-php-rceAdvisory Dritter
cert-portal.siemens.com/productcert/html/ssa-166980.html
cert-portal.siemens.com/productcert/html/ssa-566435.html

Quellen

Daten aus der NVD (NIST) und dem KEV-Katalog der CISA, abgerufen am 1. November 2026. Diese Seite nutzt Daten der NVD-API, ist aber weder von der NVD gebilligt noch zertifiziert. Alle Angaben ohne Gewähr.

Eintrag in der NVD ↗Eintrag bei CVE.org ↗KEV-Katalog der CISA ↗

Welche Software-Versionen gibt Ihre Website nach außen preis? Der kostenlose Security-Check prüft es.

Kostenlos prüfen