Kritisches Sicherheitsupdate für PHP: Was Upsun unternimmt

Update: Verfolge diesen Vorfall auf der Upsun-Statusseite.

PHP veröffentlicht am Mittwoch, den 21. Oktober 2026, um 14:00 Uhr UTC Patches für zwei kritische Sicherheitslücken. PHP bewertet beide mit 9,2 nach CVSS v4.0. Technische Details, betroffene Versionen und behobene Versionen werden mit der Veröffentlichung bekannt gegeben, und PHP kündigt an, die Patches vorzeitig zu veröffentlichen, falls Details durchgesickert sind oder jemand beginnt, die Schwachstellen auszunutzen.

Forscher von Huntress und Sansec haben die Veröffentlichung mit den CVE-Nummern CVE-2026-109618 und CVE-2026-109619 in Verbindung gebracht, und in den Medien wird das Paar als „php2shell“ bezeichnet. Bislang hat noch niemand von einer Ausnutzung berichtet.

Was wir unternommen haben

Unser Sicherheitsteam hat vor jeder PHP-Anwendung auf Upsun Cloud vorbeugende Schutzmaßnahmen eingerichtet. Wir arbeiten aktiv daran, eure Anwendungen weiter zu schützen, unabhängig davon, ob das PHP-Image bereits gepatcht wurde oder nicht.

Ihr müsst im Moment nichts unternehmen.

Wie geht es weiter?

Zusätzlich zum Edge-Schutz werden wir damit beginnen, unsere PHP-Laufzeit-Images so schnell und zuverlässig wie möglich zu aktualisieren und zu patchen, sobald PHP die neue Version veröffentlicht. Wir werden alle Details im Upsun Developer Center veröffentlichen: welche Versionen gepatcht wurden, wann die gepatchten Laufzeiten in euren Projekten verfügbar sind und ob ihr Maßnahmen ergreifen müsst. Wir werden diesen Beitrag im Laufe der Einführung auf dem neuesten Stand halten und von hier aus darauf verlinken.

Wenn du eine PHP-Version verwendest, deren Lebenszyklus abgelaufen ist

PHP patcht nur unterstützte Zweige. Die Upstream-Korrekturen decken PHP 8.2 bis 8.5 ab. PHP 8.1 und ältere Versionen sind nicht mehr unterstützt; sollten sie betroffen sein, wird PHP sie daher nicht beheben.

Die Abhilfemaßnahmen schützen auch diese Versionen, ersetzen jedoch keine gepatchte Laufzeitumgebung. Wenn du PHP 8.1 oder älter verwendest, führe jetzt ein Upgrade durch, um sicherzustellen, dass du automatisch die neuesten Sicherheitspatches erhältst, sobald sie verfügbar sind. Bei Upsun ist das eine Zeile in der Datei „.upsun/config.yaml“:

applications:
  myapp:
    type: "php:8.4"

Übertrage die Änderung in eine Preview-Umgebung, teste sie anhand einer Kopie der Produktionsdaten und führe dann den Merge durch.

Wo du Updates bekommst

Der Rollout-Status und technische Details werden im Developer Center veröffentlicht. Die offizielle Mitteilung von PHP findest du auf php.net. Bei Fragen zu einem bestimmten Projekt eröffne bitte ein Support-Ticket über die Upsun-Konsole.