Allgemein

PHP-Sicherheitsrelease: Zwei kritische RCE-Lücken, Update jetzt

Am 21. Oktober 2026 hat das PHP-Projekt zwei kritische Schwachstellen geschlossen, die unauthentifizierte Remote-Code-Ausführung erlauben (CVSS 9.2). TYPO3 selbst ist nicht betroffen, die PHP-Laufzeit darunter aber schon. Was Betreiber jetzt prüfen, welche Workarounds nur Überbrückung sind und was für PHP 8.1 und älter gilt.

Schild mit Häkchen auf einer Papierplakette im Markenbogen, Petrol

PHP-Sicherheitsrelease vom 21. Oktober 2026: Zwei kritische Lücken, Update statt Workaround

Am 21. Oktober 2026 hat das PHP-Projekt die Versionen 8.5.12, 8.4.27, 8.3.36 und 8.2.35 veröffentlicht. Sie schließen zwei Schwachstellen, die unauthentifizierte Remote-Code-Ausführung (RCE) ermöglichen, also die Ausführung fremden Codes auf dem Server ohne Anmeldung. Aus mehr als 20 Jahren Arbeit mit TYPO3 ordne ich ein, was das für den Betrieb von TYPO3-Installationen bedeutet.

TL;DR: TYPO3 selbst ist nicht betroffen, das darunterliegende PHP aber schon. Wer PHP betreibt, sollte so schnell wie möglich auf 8.5.12, 8.4.27, 8.3.36 oder 8.2.35 aktualisieren. Laut dem PHP-Team sind Konfigurationsmaßnahmen nur Überbrückungen und machen die Installation nicht sicher.

Was betroffen ist

Betroffen ist die PHP-Runtime, nicht die darauf laufende Anwendung. Das Risiko betrifft damit jeden Webserver mit PHP, unabhängig vom CMS.

Das PHP-Team nennt zwei Schwachstellen, jeweils mit einer CVSS-Bewertung von 9.2 (Version 4.0). CVE-2026-109618 betrifft die Speicherbehandlung beim Erreichen des memory_limit: PHP kann dabei halb initialisierte Daten später als gültig behandeln. CVE-2026-109619 betrifft einen veralteten globalen Zustand, der nach dem Freigeben von Speicher wiederverwendet werden kann.

Das höchste Risiko besteht bei Apache mit mod_php. Dort wird nach Angaben des PHP-Teams ein Angriff mit Standardeinstellungen demonstriert, und zwar vor jedem Anwendungscode. Laut Ankündigung sind auch PHP-FPM, php-cgi, FrankenPHP und LiteSpeed betroffen. Für PHP-FPM wurde eine RCE über Anwendungspfade bestätigt.

Was TYPO3-Betreiber jetzt tun sollten

Die TYPO3-PSA vom 21. Oktober empfiehlt, PHP umgehend zu aktualisieren. Bei verwaltetem Hosting heißt das: den Hoster fragen, ob die Version bereits eingespielt ist. Auf eigenen Servern, VPS und in Docker-Containern liegt das Update bei den Betreibern, bei Containern gehört das Neubauen der Images dazu. Die aktuelle PHP-Version wird im TYPO3-Backend unter System Information > Toolbar > PHP Version angezeigt.

Mitigationen gibt es, aber das PHP-Team betont, dass sie lediglich bestimmte Angriffsvektoren einschränken. Genannt werden unter anderem memory_limit=-1 (serverseitig festgesetzt), ein niedriges post_max_size, session.upload_progress.enabled=0 und auf PHP 8.5 fatal_error_backtraces=0. Ich würde sie nur einsetzen, wenn ein Update nicht sofort möglich ist.

Am 23. Oktober wurde ein ergänzender Hinweis zu CVE-2026-115560 hinzugefügt. Das PHP-Team bezeichnet es als „unlikely RCE vector“ und empfiehlt weiterhin, session.upload_progress.enabled=0 zu setzen. Die vollständige Beschreibung folgt im nächsten regulären Release.

Parallel dazu erschienen am 22. Oktober die TYPO3-Maintenance-Releases 14.3.10 und 13.4.37. Sie enthalten Dependency-Updates und sind keine Fixes für diese PHP-Lücken.

PHP 8.1 und älter

Für PHP 8.1 und älter liefert das PHP-Projekt keine Updates mehr. Das Team hat minimale Backports für 7.4, 8.0 und 8.1 in eigenen Git-Branches bereitgestellt. Distributionen und LTS-Anbieter können ebenfalls Fixes liefern, das sollte man beim Anbieter erfragen.

Für ELTS-Kunden (Extended Long Term Support, die kostenpflichtige Verlängerung der Sicherheitsunterstützung für ältere TYPO3-Versionen) nennt die PSA zwei Wege: TYPO3 v11 und v12 auf PHP 8.2 oder neuer, TYPO3 v10 mit kommerziellen PHP-Sicherheitsupdates, etwa über Ubuntu Pro. PHP 8.2 selbst erreicht am 31. Dezember 2026 das Support-Ende.

Einordnung: Der Zeitplan geriet außer Kontrolle

Das Embargo hielt nicht. Laut der PHP Foundation tauchten die CVE-Nummern am 20. Oktober gegen 15:00 UTC online auf, mit falschem Release-Zeitpunkt und falscher Bewertung. Das Team verschob den Release daraufhin vom 22. auf den 21. Oktober, 14:00 UTC. Ein Anbieter veröffentlichte Images mit dem Fix bereits um 07:41 UTC, also über sechs Stunden zuvor. Funktionierende Exploits waren zum Release laut dem PHP-Team nicht im Umlauf.

Meine Wertung: Das ist kein Grund zur Panik, aber ein Grund, den PHP-Patchprozess zu prüfen. Ein Update, das erst in der nächsten Wartungsrunde ausgerollt wird, ist in solchen Lagen zu langsam.

Fazit

  • Zwei kritische PHP-Lücken (CVSS 9.2) ermöglichen unauthentifizierte RCE; TYPO3 selbst ist nicht betroffen.
  • Update auf PHP 8.5.12, 8.4.27, 8.3.36 oder 8.2.35. Workarounds sind nur Überbrückungen.
  • PHP 8.1 und älter erhalten vom Projekt keine Fixes mehr; PHP 8.2 endet am 31. Dezember 2026.

Häufige Fragen

Muss ich TYPO3 aktualisieren?

Nein. Laut TYPO3-PSA ist TYPO3 nicht betroffen. Entscheidend ist die PHP-Version auf dem Server.

Reicht es, session.upload_progress zu deaktivieren?

Nein. Das PHP-Team betont, dass Mitigationen die Installation nicht sicher machen. Das Update ist der einzige vollständige Schutz.

Was gilt bei PHP 7.4 oder 8.1?

Das PHP-Projekt liefert keine regulären Updates, bietet aber Backport-Branches an. Wer nicht selbst baut, braucht einen Anbieter mit Backport oder einen Umstieg auf PHP 8.2 oder neuer.

Ich entwickle Software, beschäftige mich mit technologischen Entwicklungen und teile regelmäßig meine Praxiserfahrungen. Einen Überblick über meine Arbeit und weitere Beiträge findest du auf meiner Seite zum Thema Software. 

Quellen: