Kritische PHP-Sicherheitslücken CVE-2026-109618 und CVE-2026-109619: Was Shopbetreiber wissen müssen

Das PHP-Security-Team hat am 21. Oktober 2026 Sicherheitsupdates für zwei kritische PHP-Schwachstellen angekündigt. Wir setzen zusätzliche Schutzmaßnahmen um und rollen die korrigierten PHP-Pakete schnellstmöglich aus, sobald diese für die jeweiligen Versionen verfügbar sind.

Das Wichtigste auf einen Blick

• maxcluster übernimmt die notwendigen PHP-Sicherheitsupdates auf Plattformebene.
• Wir setzen zusätzliche Schutzmaßnahmen über die PHP-Konfiguration um.
• Auch PHP-Versionen mit Long-Term-Support werden berücksichtigt.
• Kunden müssen aktuell nichts eigenständig ändern. Falls für eine individuelle Shopumgebung weitere Schritte erforderlich sind, stimmen wir diese gemeinsam ab.

Was sind die Sicherheitslücken?

Die Sicherheitslücken CVE-2026-109618 und CVE-2026-109619 betreffen die PHP-Laufzeitumgebung und werden als kritisch eingestuft. Unter bestimmten Voraussetzungen können sie Angriffe ermöglichen, bei denen Schadcode ausgeführt wird.

Um die Schwachstellen dauerhaft zu beheben, müssen die korrigierten PHP-Pakete für die jeweiligen Versionen installiert werden, wir werden dies direkt nach Verfügbarkeit umsetzen. Ergänzende Schutzmaßnahmen können das Risiko bis dahin reduzieren, ersetzen die Sicherheitsupdates aber nicht.

Weitere Informationen finden Sie in der offiziellen Ankündigung des PHP-Security-Teams und in der technischen Analyse von Sansec.

Welche Schutzmaßnahmen setzt maxcluster um?

Wir verfolgen einen mehrschichtigen Sicherheitsansatz und setzen verschiedene Maßnahmen zur zusätzlichen Absicherung unserer Plattform um.

1. Anpassungen der PHP-Konfiguration

Wir setzen folgende PHP-Einstellungen als zusätzliche Schutzmaßnahmen ein:

• session.upload_progress.enabled = 0
• session.use_strict_mode = 1

Die Einstellungen werden zunächst auf unseren Stage-Systemen und anschließend auf den Live-Systemen ausgerollt.

Sie dienen dazu, bestimmte Angriffsmöglichkeiten einzuschränken. Sie stellen jedoch keine vollständige Behebung der Sicherheitslücken dar und ersetzen nicht die Installation der korrigierten PHP-Pakete.

2. Ergänzende Schutzmaßnahmen auf Infrastrukturebene

Wir prüfen und implementieren weitere Sicherheitsregeln, um mögliche Angriffe zusätzlich einzuschränken. Die Maßnahmen ergänzen die PHP-Konfiguration und die anschließenden Sicherheitsupdates.

3. Installation der PHP-Sicherheitsupdates

Sobald die korrigierten Pakete für die jeweiligen PHP-Versionen verfügbar sind, rollen wir diese schnellstmöglich aus.

Das gilt ausdrücklich auch für PHP-Versionen, die wir im Rahmen unseres Long-Term-Supports betreuen. Wir kümmern uns um die erforderlichen Sicherheitskorrekturen für diese Versionen ebenso.

Wie läuft die Umstellung ab und kann es zu Unterbrechungen kommen?

Die Anpassungen werden stufenweise über Test- und Staging-Umgebungen ausgerollt, bevor sie auf den Live-Systemen umgesetzt werden. Dabei prüfen wir die Funktion der Systeme und insbesondere die Webchecks.

Sollten dabei Probleme auftreten, ist ein Rollback vorgesehen. Für die Umstellung kann ein Neustart von PHP erforderlich sein, der eine kurze Unterbrechung verursachen kann.

Wir achten darauf, die Auswirkungen auf die Erreichbarkeit der Shops so gering wie möglich zu halten.

Wie werden PHP-Versionen mit Long-Term-Support abgesichert?

Für ältere PHP-Versionen stehen offizielle Sicherheitskorrekturen möglicherweise nicht zeitgleich mit den Updates für aktuelle PHP-Versionen zur Verfügung.

Für unsere Kunden mit gebuchtem PHP ExtendedSupport wird deshalb ein entsprechender Fix über unseren Partner bereitgestellt. Wir koordinieren die Bereitstellung und Umsetzung der erforderlichen Sicherheitskorrekturen auch für diese Versionen.

Die zusätzlichen Konfigurations- und Infrastrukturmaßnahmen dienen der Überbrückung bis zur Installation der passenden Sicherheitskorrekturen. Sie ersetzen diese nicht.

Kann ich die PHP-Sicherheitseinstellungen selbst wieder aktivieren?

Wir haben die Einstellung session.upload_progress.enabled deaktiviert und session.use_strict_mode aktiviert, um zusätzliche Schutzmaßnahmen umzusetzen, bis die korrigierten PHP-Pakete verfügbar und installiert sind.

Wir empfehlen dringend, diese Einstellungen bis zur Installation der entsprechenden Sicherheitsupdates nicht eigenständig zurückzusetzen.

Insbesondere die erneute Aktivierung von session.upload_progress.enabled kann eine Schutzmaßnahme aufheben und das Risiko erhöhen, solange die Sicherheitskorrekturen noch nicht installiert sind.

Bitte stimmen Sie Änderungen an diesen Einstellungen in diesem Zeitraum mit unserem Support ab. Wir kümmern uns um die Bereitstellung und Installation der erforderlichen PHP-Sicherheitsupdates.

Die Konfigurationseinstellungen sind eine ergänzende Übergangsmaßnahme und ersetzen nicht die Installation der korrigierten PHP-Pakete.

Sind auch PHP-Versionen mit Extended Support betroffen?

Die Sicherheitskorrekturen müssen für die jeweiligen PHP-Versionen bereitgestellt werden. Wir berücksichtigen dabei ausdrücklich auch die PHP-Versionen, die wir im Rahmen unseres Extended Supports betreuen.

Sobald die korrigierten Pakete für diese Versionen verfügbar sind, rollen wir die Updates schnellstmöglich aus. Kunden müssen die Updates auf Plattformebene nicht selbst durchführen.

Muss ich meinen Shop selbst aktualisieren?

Nein. Die notwendigen PHP-Sicherheitsupdates auf Plattformebene übernimmt maxcluster.

Bitte nehmen Sie keine eigenständigen Änderungen an den beschriebenen PHP-Einstellungen vor, solange die Sicherheitsupdates noch ausstehen. Falls für Ihre individuelle Shopumgebung zusätzliche Schritte erforderlich sind, stimmen wir diese mit Ihnen ab.

Bietet Sansec Shield zusätzlichen Schutz?

Sansec Shield kann eine zusätzliche Schutzebene im Sicherheitskonzept eines Shops darstellen.

Welche konkrete Schutzwirkung Sansec Shield bei den hier beschriebenen Schwachstellen bietet, hängt von der technischen Abdeckung des jeweiligen Angriffsszenarios ab. Sansec Shield ersetzt daher nicht die Installation der korrigierten PHP-Pakete.

Wenn Sie Fragen zu Sansec Shield und den zusätzlichen Schutzmöglichkeiten für Ihren Shop haben, wenden Sie sich gerne an unser Support-Team.

Wann werden die Sicherheitsupdates installiert?

Das PHP-Security-Team hat die Veröffentlichung der Sicherheitsupdates für den 21. Oktober 2026 um 14:00 Uhr UTC angekündigt. Das entspricht 16:00 Uhr deutscher Sommerzeit.

Die Bereitstellung der korrigierten Pakete kann je nach PHP-Version unterschiedlich lange dauern. Wir verfolgen die Verfügbarkeit und rollen die Updates schnellstmöglich aus.

Wo erhalte ich weitere Informationen?

• Offizielle Ankündigung des PHP-Security-Teams
• Technische Analyse von Sansec

Bei Fragen zu den Sicherheitsmaßnahmen oder Ihrer individuellen Shopumgebung steht Ihnen unser Support-Team gerne zur Verfügung.