Security Advisory: Kritische Schwachstellen in PHP

Hinweis zu CVE-2026-109618 und CVE-2026-109619

Zusammenfassung (Stand 21.10.2026)
Das BSI warnt vor zwei kritischen Sicherheitslücken in PHP. EMweb nutzt PHP als Laufzeitumgebung und ist daher indirekt betroffen. 

Die Lücken liegen in PHP selbst, nicht im EMweb-Code. 

PHP-Entwickler haben am 21.10.2026 Sicherheitsupdates veröffentlicht. Wir empfehlen, PHP auf dem EMweb-Server unverzüglich zu aktualisieren, besonders wenn EMweb aus dem Internet erreichbar ist.

Betroffene Schwachstellen

• CVE-2026-109618 - Ausführung von Schadcode aus der Ferne ohne Anmeldung (Speicherfehler bei Speichermangel).
• CVE-2026-109619 - Ausführung von Schadcode aus der Ferne ohne Anmeldung (veralteter globaler Zustand zwischen Anfragen).

Betroffene Produkte: 
EMweb 2.5.x in Verbindung mit der von EMweb jeweils verwendeten PHP-Hauptversion. 
Für Anwender ist nur die PHP-Version relevant, die ihre EMweb-Version tatsächlich nutzt.
 
EMweb bis 2.5.3 nutzt PHP 8.4.x; die aktuelle Version EMweb 2.5.7 nutzt PHP 8.5.x.
Details zum EMweb-Update finden Sie unter: EMweb Update-Wegweiser.

Gepatchte PHP-Versionen

• EM-Web bis 2.5.3 (Verwendete PHP-Hauptversion: 8.4.x, gepatchte PHP-Version 8.4.27)
• EM-Web 2.5.7 (Verwendete PHP-Hauptversion: 8.5.x, gepatchte PHP-Version 8.5.12)

PHP 8.3.x, PHP 8.2.x sowie PHP 8.1 und älter sind für die oben genannten EMweb-Versionen nicht erforderlich und sollten für EMweb nicht als Zielversion herangezogen werden. 
PHP 8.1 und älter erhalten keine Updates des PHP-Projekts mehr; PHP 8.2 erreicht am 31.12.2026 das Support-Ende.

Empfohlene Maßnahmen

1. Nur die PHP-Hauptversion aktualisieren, die von der eingesetzten EMweb-Version tatsächlich verwendet wird: 
   bis EMweb 2.5.3 PHP 8.4.x auf 8.4.27, bei EMweb 2.5.7 PHP 8.5.x auf 8.5.12. 
   Die installierte PHP-Version zeigt php -v.

2. Webserver bzw. PHP-Prozesse neu starten und EMweb prüfen.

3. Bis zum Update den Zugriff aus dem Internet einschränken, etwa per VPN oder IP-Freigabeliste.

4. Server-Logs auf auffällige Zugriffe seit dem 21.10.2026 prüfen.

Referenzen: BSI - Presse - PHP, PHP: News Archive - 2026

Support: +49 2630 95671-34 | support(at)enshur.de