PHP-Sicherheitslücken entdeckt, Cloudflare schützt

Am 22. Oktober 2026 wurden zwei kritische Sicherheitslücken im PHP-Protokoll entdeckt. Die Schwachstellen, mit CVE-Namen CVE-2026-109618 und CVE-2026-109619, betreffen das Verhalten von PHP bei Ausnahmen aus der Speicherverwaltung. Wenn ein HTTP-Request fehlschlägt, kann PHP Daten verwenden, die noch nicht initialisiert wurden, oder nach dem Freigeben von Speicher referenzen halten, die später überschrieben werden. Dies ermöglicht Angreifern, Remote Code Execution zu initiieren und sensible Daten auszulesen.

Die Schwachstellen sind so gravierend, dass sie als "critical vulnerabilities" eingestuft wurden. Die PHP-Community hat bereits Maßnahmen eingeleitet, um die Lücken zu schließen. Cloudflare hat Schutzmaßnahmen bereits deployed, indem es Web Application Firewall (WAF) Regeln veröffentlichte, die auf der Basis von Full Transaction Detection funktionieren. Diese Regeln analysieren sowohl den Request als auch den Response innerhalb eines HTTP-Transaktions, um sicherzustellen, dass keine gefährlichen Daten an das Benutzerprogramm weitergegeben werden.

Die Lücken betreffen PHP-Versionen 5.4 und höher. Da PHP rund 70 % der Webseiten weltweit bedient, sind die Auswirkungen potenziell groß. Während Cloudflare bereits Schutz bietet, ist es wichtig für Organisationen, ihre eigenen PHP-Repositories zu patchen, um eine zusätzliche Schicht der Sicherheit zu gewährleisten.

Was ist noch unklar: Die genaue Veröffentlichungszeitpunkt der eigentlichen Patch-Veröffentlichung durch die PHP Foundation ist nicht explizit als "heute" datiert. Es wird erwartet, dass die Lücken in den kommenden Tagen behoben werden.