Vier Fix-Releases für die zwei kritischen Lücken – und danach ein zusätzlicher Hinweis zu einem seltenen Konfigurationsfall. Hier finden Sie den datierten Stand, die Grenzen einer reinen Versionsprüfung und die Fragen, die beim Patchen nicht offenbleiben sollten.
Datierter Informationsstand. Spätere Änderungen bitte direkt in den verlinkten Herstellerhinweisen prüfen.
Für CVE-2026-109618 und CVE-2026-109619. Diese Tabelle bewertet weder Ihre konkrete Installation noch den zusätzlichen Sonderfall vom 23. Oktober.
| PHP-Linie | Fix-Release |
|---|---|
| PHP 8.2 | 8.2.35 |
| PHP 8.3 | 8.3.36 |
| PHP 8.4 | 8.4.27 |
| PHP 8.5 | 8.5.12 |
Neuere korrigierte Releases und bestätigte Distributions-Backports berücksichtigen. Die Tabelle ist keine allgemeine Sicherheitsfreigabe.
Quelle: offizielle PHP-SicherheitsveröffentlichungWAS FÜR IHRE ENTSCHEIDUNG ZÄHLT
Das PHP-Projekt nennt 8.2.35, 8.3.36, 8.4.27 und 8.5.12 als Fix-Releases für CVE-2026-109618 und CVE-2026-109619. Die Tabelle zeigt diese historischen Mindeststände der jeweiligen Linie, keine dauerhafte Empfehlung, genau auf dieser Version stehenzubleiben. Neuere freigegebene Sicherheitsstände sind ebenfalls anhand der Herstellerinformationen zu bewerten.
PHP veröffentlichte zu CVE-2026-115560 einen ergänzenden Hinweis zum Session-Upload-Fortschritt. Beschrieben wird eine ungewöhnliche Kombination aus Konfiguration und einem Wechsel des Session-Serializers im Anwendungscode. Als vorläufige Maßnahme empfiehlt PHP, session.upload_progress.enabled=0 bis zum nächsten regulären Bugfix-Release zu setzen; Anwendungen ohne diesen Laufzeitwechsel sind laut Hinweis nicht auf diese Weise exponiert. Änderungen gehören zur zuständigen Administration.
Distributionen und betreute Angebote können Sicherheitskorrekturen in bestehende Pakete zurückportieren. Gleichen Sie deshalb Paket-Release, Anbieter-Advisory und konkrete Installation ab. Ebenso wenig sollte allein ein Versionsbanner als sicherer Verwundbarkeitsnachweis gelten. Fehlt der Nachweis, ist das eine offene Frage für die Betreuung und keine automatische Entwarnung.
Nach dem Update müssen die tatsächlich verarbeitenden PHP-Prozesse den korrigierten Stand verwenden. Red Hat weist ausdrücklich auf den Neustart aller Worker beziehungsweise den Austausch laufender Container hin. Dokumentieren Sie Domain oder Pool, Paket-/Image-Stand und die erfolgte Übernahme. Prüfen Sie anschließend auch wichtige Anwendungsfunktionen und den neueren Zusatzhinweis.
Bitte keine Passwörter per E-Mail senden. Falls ein Zugriff nötig ist, klären wir den geeigneten Weg im geschützten Auftragsbereich.
Technische Anforderungen und Hostingoptionen können sich ändern. Beziehen Sie die Dokumentation immer auf Ihr konkretes Produkt und Ihre installierte Version.
PHP-Projekt: Sicherheitsreleases vom 21.10.2026PHP-Projekt: zusätzlicher Hinweis vom 23.10.2026Red Hat: Paketstatus, Worker und ergänzende HinweisePersönliche Rückfrage?
info@hajanet.de
Diese Version ist ein benannter Fix-Stand für die beiden ursprünglichen CVEs. Das ist keine allgemeine Sicherheitsfreigabe. Der Zusatzhinweis vom 23. Oktober, weitere Meldungen, Konfiguration und Anwendung müssen gesondert betrachtet werden.
Für diese Linien enthält die genannte Upstream-Veröffentlichung keinen Fix-Release. Prüfen Sie ein tatsächlich betreutes Angebot und dessen bestätigten Patch-Stand oder planen Sie mit der Betreuung den Wechsel auf eine unterstützte Umgebung. Eine Zusage ohne Anbieterbeleg reicht nicht.
Ein konkreter Prüfauftrag. Ein schriftliches Ergebnis. Ihre Entscheidung über die nächsten Schritte.