Schwachstelle vom 3. November 2026 · CVE-2026-109619

PHP Use-after-free

8,1 CVSS · hochAktiv ausgenutzt

Use-after-free in PHP. Über das Netzwerk angreifbar, ohne Anmeldung, ohne Zutun eines Nutzers. CVSS 8,1 (hoch). Laut CISA wird die Lücke bereits ausgenutzt. Behoben in 8.2.35, 8.3.36, 8.4.27 und 8.5.12.

Sicherheitshinweis des Herstellers

github.com · Maßgeblich sind die Angaben des Herstellers.

Auf einen Blick

CVE

CVE-2026-109619

Produkt

PHP

Hersteller

The PHP Group

Betroffene Versionen

≥ 8.2.0, < 8.2.35
≥ 8.3.0, < 8.3.36
≥ 8.4.0, < 8.4.27
≥ 8.5.0, < 8.5.12

laut Hersteller bzw. CVE-Herausgeber

Behoben in

8.2.35, 8.3.36, 8.4.27, 8.5.12

CVSS

8,1 (hoch)
CVSS 3.1, bewertet von der NVD
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H

Aktiv ausgenutzt

Ja, laut CISA (im KEV-Katalog seit 26. Oktober 2026)

Schwachstellentyp

CWE-416 (Use-after-free), CWE-755, CWE-824, CWE-1325

Veröffentlicht

21. Oktober 2026

Zuletzt geändert

2. November 2026

Was zu tun ist

Auf eine behobene Version aktualisieren: 8.2.35, 8.3.36, 8.4.27 und 8.5.12 oder neuer, je nach eingesetztem Versionszweig.
Den Bericht des Herstellers lesen: Er nennt die genauen Versionen und, falls vorhanden, Workarounds für den Fall, dass ein Update nicht sofort möglich ist.
Weil die Lücke bereits ausgenutzt wird: nach dem Update prüfen, ob das System vorher kompromittiert wurde.
Auch Test-, Staging- und vergessene Installationen derselben Software prüfen.

Sicherheitshinweis des Herstellers ↗

Originalbeschreibung

Englisch, aus dem CVE-Eintrag. Die Zusammenfassung oben ist aus den strukturierten Daten erstellt.

PHP has various global state that temporarily points into request memory. In some scenarios, global state may not be correctly reset, or may be repopulated after being reset. The global state may then refer to request memory even after it has been freed. Subsequent requests may read or branch on this stale state before it is fully initialized. Multiple strategies can trigger this condition and produce remote code execution (RCE).
Bezeichnung bei CISA: PHP Stale Internal Request-State Vulnerability

Offizielle Referenzen

github.com/php/php-src/security/advisories/GHSA-6wmf-4rv5-p3rpWorkaroundHersteller-Advisory
arcticwolf.com/resources/blog/php2shell-critical-php-vulnerabilities-enable-unauthenticated-remote-code-executionAdvisory Dritter
cert-portal.siemens.com/productcert/html/ssa-166980.htmlAdvisory Dritter
cert-portal.siemens.com/productcert/html/ssa-566435.htmlAdvisory Dritter
cert-portal.siemens.com/productcert/html/ssa-566512.htmlAdvisory Dritter
php2shell.delftintellab.comAdvisory Dritter
cisa.gov/known-exploited-vulnerabilities-catalogUS-Behörde
wiz.io/blog/php2shell-php-rceAdvisory Dritter

Quellen

Daten aus der NVD (NIST) und dem KEV-Katalog der CISA, abgerufen am 3. November 2026. Diese Seite nutzt Daten der NVD-API, ist aber weder von der NVD gebilligt noch zertifiziert. Alle Angaben ohne Gewähr.

Eintrag in der NVD ↗Eintrag bei CVE.org ↗KEV-Katalog der CISA ↗

Welche Software-Versionen gibt Ihre Website nach außen preis? Der kostenlose Security-Check prüft es.

Kostenlos prüfen