Das PHP-Projekt hat für Mittwoch, den 21. Oktober, die Veröffentlichung von Updates für zwei äußerst kritische Codeeinschleusungslücken in seiner Software angekündigt.
Die betroffenen Sicherheitslücken tragen die Bezeichnungen CVE-2026-109618 und CVE-2026-109619. Beide werden als besonders kritisch eingestuft. Damit steht für PHP-Umgebungen kurzfristig ein Sicherheitsupdate an.
Was das Update betrifft
Eine Codeeinschleusungslücke kann dazu führen, dass Angreifer Schadcode in eine Anwendung einfügen. Wie genau die beiden Lücken ausgenutzt werden können, geht aus den vorliegenden Informationen nicht hervor. Das PHP-Projekt hat die Veröffentlichung für Mittwochnachmittag um 16:00 Uhr MESZ angekündigt.
Die Nachricht betrifft nicht einzelne bekannte Nutzerkonten, sondern die Sicherheit der verwendeten Software. Entscheidend ist daher, ob und wie schnell die betreffenden Updates nach der Veröffentlichung in den jeweiligen PHP-Umgebungen eingespielt werden. Der Umgang mit Sicherheitsupdates gehört zu den Aufgaben der IT-Sicherheitsfachleute und des PHP-Sicherheitsteams.