CVE-2026-109618
21. Oktober 2026 In PHP existieren zwei kritische Sicherheitslücken, deren Ausnutzung es nicht authentifizierten Angreifer:innen ermöglichen kann, aus der Ferne beliebigen Code auszuführen. Betroffen sind laut PHP-Projekt alle PHP-Installationen, die Web-Anfragen verarbeiten, darunter PHP-FPM, Apache mit mod_php, php-cgi, FrankenPHP und LiteSpeed. Bei CVE-2026-109618 kann die Behandlung von Out-of-Memory-Zuständen (OOM) PHP unterbrechen, während interne Anfragedaten nur teilweise initialisiert sind. Beim anschließenden Beenden der Anfrage werden diese ungültigen Daten als gültig verarbeitet. Bei CVE-2026-109619 kann anfragebezogener interner Zustand bestehen bleiben, nachdem der zugehörige Speicher bereits freigegeben wurde (Use-after-free). Eine spätere Anfrage, die vom selben Worker-Prozess verarbeitet wird, kann diesen veralteten Zustand vor der regulären Initialisierung verwenden. CVE-Nummer(n): CVE-2026-109618, CVE-2026-109619 CVSS v4.0 Base Score: 9.2
EPSS 100.00% · 100.0th percentile
Risk Scores
Affected Products
| Vendor | Product | Versions |
|---|---|---|
| PHP | PHP 8.4 vor Version 8.4.27 | |
| PHP | PHP 8.3 vor Version 8.3.36 | |
| PHP | PHP 8.5 vor Version 8.5.12 | |
| PHP | PHP 8.2 vor Version 8.2.35 | |
| PHP | PHP 8.1 und ältere Versionen (End of Life) |
Timeline
- CVE Published
- Apr 10, 2022 CrowdSec Sighting
- Jan 17, 2023 CrowdSec Sighting
- Sep 17, 2023 CrowdSec Sighting
- Apr 22, 2024 CrowdSec Sighting
- Jun 11, 2024 CrowdSec Sighting
- Nov 27, 2024 CrowdSec Sighting
- Apr 18, 2025 CrowdSec Sighting
- May 23, 2025 CrowdSec Sighting
- Jul 9, 2025 CrowdSec Sighting
- Jul 27, 2025 CrowdSec Sighting
- Dec 6, 2025 CrowdSec Sighting
References
- https://www.cert.at/de/warnungen/2026/10/kritische-sicherheitslucken-in-php-updates-verfugbar advisory
- PHP2Shell: Finding the Needles in a 250,000 Request Haystack third-party-analysis
- Critical RCE Vulnerabilities Discovered in Core PHP: CVE-2026-109618 and CVE-2026-109619 third-party-analysis
- Fastly’s Proactive Protection for PHP2Shell, Critical PHP RCE CVE-2026-109618 and CVE-2026-109619 third-party-analysis
- Blog third-party-analysis
- Critical PHP RCE Vulnerabilities: Patch Now (CVE-2026-109618, CVE-2026-109619) third-party-analysis
- Product Security in the Post-AI Era third-party-analysis
- Patching at Fleet Scale, Twice: How DigitalOcean Closed Januscape and the AMD Safe RET Issue Without Customer Impact third-party-analysis
- Enhancing Security with User-Specific Access Keys for DigitalOcean Functions third-party-analysis
- OAuth App Based Workload Identity for Droplets third-party-analysis
- How DigitalOcean Uses Semgrep to Fortify Security: A Highlight From Our Toolset third-party-analysis
- Contextual Vulnerability Management With Security Risk As Debt third-party-analysis
- Regresshion vulnerability: Recommended actions and steps we've taken third-party-analysis
- DigitalOcean and HIPAA: Enabling Healthcare Innovation on our Platform third-party-analysis