CVE-2026-109619: Remote Code Execution in PHP durch veralteten globalen Zustand

Was ist CVE-2026-109619?

CVE-2026-109619 ist die zweite PHP2Shell-Sicherheitslücke; der offizielle Titel von PHP lautet „RCE via stale global state“. PHP-Worker bearbeiten viele Anfragen nacheinander. Ist eine Anfrage beendet, wird ihr Speicher freigegeben, aber ein Teil des globalen Zustands konnte weiter darauf zeigen. Nutzt eine spätere Anfrage diesen veralteten Verweis, greift sie auf freigegebenen Speicher zu, und daraus kann ein Angreifer Codeausführung machen.

Das GitHub-Advisory stuft CVE-2026-109619 als kritisch ein, mit CVSS-4.0-Score 9.2 und dem Vektor CVSS:4.0/AV:N/AC:H/AT:P/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N: Die Lücke ist über das Netzwerk erreichbar, ohne Login und ohne Zutun eines Nutzers. Die Angriffskomplexität gilt allerdings als hoch, und bestimmte Voraussetzungen müssen erfüllt sein.

Welche PHP-Versionen sind von CVE-2026-109619 betroffen?

Betroffen ist jeder unterstützte Branch unterhalb seiner gepatchten Version, ebenso alle Branches, deren Support beendet ist. PHP 8.1 und älter erhalten keine neuen Releases; minimale Quellcode-Patches hat PHP nur für 7.4, 8.0 und 8.1 veröffentlicht (siehe PHP End of Life).

Distributionspakete haben eigene gepatchte Versionen. Die folgende Tabelle führt außerdem Images, Control Panels und Hoster auf, deren Status wir noch nicht geprüft haben:

Wie behebe ich CVE-2026-109619?

Aktualisieren Sie PHP auf die gepatchte Version Ihres Branches oder auf das gepatchte Paket Ihrer Distribution, und starten Sie danach alle PHP-Worker neu, damit kein Prozess den alten Code weiter ausführt. Das GitHub-Advisory ist da eindeutig: Nur ein Update auf ein Release mit dem vollständigen Patch zum Zurücksetzen des Zustands sei eine verlässliche Abhilfe. Der PHP2Shell-Patch-Leitfaden beschreibt die einzelnen Setups.

Kann ich CVE-2026-109619 ohne Update entschärfen?

Nur teilweise. PHP nennt zwei Einstellungen für Administratoren, nach denen jeweils alle Worker neu gestartet werden müssen:

• session.upload_progress.enabled=0, gesetzt in der php.ini, im FPM-Pool oder in der Serverkonfiguration (nicht per ini_set() oder FPM-.user.ini). Das blockiert die bestätigten Session-Pfade, aber keine anderen Varianten.
• Nur unter PHP 8.5: fatal_error_backtraces=0. Das blockiert ausschließlich den bestätigten Pfad über Fatal-Error-Backtraces.

Laut PHP gibt es keine vollständige, allgemeine Abhilfe per Konfiguration. Alle Übergangsmaßnahmen und ihre Nebenwirkungen finden Sie auf der Seite Workaround für CVE-2026-109618.

Warum spielen PHP-Worker bei CVE-2026-109619 eine Rolle?

Die Lücke betrifft langlebige PHP-Worker-Prozesse, die eine Anfrage nach der anderen bearbeiten. Deshalb verlangen sowohl das Update als auch die Übergangsmaßnahmen einen Neustart aller Worker: der PHP-FPM-Pools, von Apache mit mod_php oder des PHP-Prozesses Ihres Servers. Ein Worker, der nach dem Update weiterläuft, hat noch den alten Code im Speicher. Beim Shared Hosting übernimmt Ihr Hoster den Neustart; lassen Sie sich das bestätigen.

Welche Setups sind von CVE-2026-109619 betroffen?

Der Sicherheitshinweis von PHP gilt für alle PHP-Installationen, die Web-Anfragen bedienen, darunter PHP-FPM, Apache mit mod_php, php-cgi, FrankenPHP und LiteSpeed; mod_php stuft PHP als am riskantesten ein. Nginx oder PHP-FPM zu nutzen ist also keine Ausnahme. Reine Kommandozeilennutzung fällt nicht unter die Warnung, aktualisieren Sie das Binary aber trotzdem.

Hilft ein Wartungsmodus-Plugin gegen CVE-2026-109619?

Verlassen Sie sich nicht darauf. Auch eine WordPress-Wartungsseite durchläuft die Anfrageverarbeitung von PHP, und manche Angriffspfade greifen, bevor überhaupt Anwendungscode läuft. Blockieren Sie den Verkehr vor PHP (am Webserver oder beim Hoster) oder nehmen Sie die Website vom Netz, wenn Sie nicht aktualisieren können.

Wird CVE-2026-109619 bereits aktiv ausgenutzt?

Angriffsversuche wurden gemeldet, erfolgreiche Kompromittierungen sind nicht bestätigt. Cloudflare hat schon vor Veröffentlichung des Fixes PHP2Shell-Angriffsverkehr gegen seine Kunden beobachtet. Keine der Quellen, die wir bis zum 22. Oktober 2026 geprüft haben, bestätigt eine erfolgreiche Übernahme. Behandeln Sie ungepatchtes, aus dem Internet erreichbares PHP als gefährdet und aktualisieren Sie.

Wie prüfe ich, ob meine Website von CVE-2026-109619 betroffen ist?

Geben Sie die PHP-Version und das Setup Ihrer Website in den PHP-Versions-Checker ein, oder lesen Sie den Überblick beim PHP2Shell-Checker. Die zweite Lücke im Paket ist CVE-2026-109618.

Welche Quellen belegen diese Seite?

• GitHub-Advisory GHSA-6wmf-4rv5-p3rp
• The PHP Group: Sicherheitshinweis
• Wiz Research: ursprüngliche Forschung
• Canonical: Ubuntu-CVE-Seite
• Cloudflare: WAF-Schutzmaßnahmen