Kritische Sicherheitsupdates für PHP und Node.js: Was wir getan haben und was Sie jetzt tun sollten

Heute, am 21. Oktober 2026, haben sowohl PHP als auch Node.js Sicherheitsupdates veröffentlicht. Besonders schwerwiegend sind die PHP-Sicherheitslücken: Sie ermöglichen Angreifern, ohne Anmeldung Code auf einem Webserver auszuführen. Die Updates schließen zwei kritische Schwachstellen, die bereits vor Veröffentlichung des Patches angegriffen wurden.

WireBoard ist bereits aktualisiert. Es gab keine Ausfallzeiten. Für Ihr WireBoard-Konto und Ihr Tracking-Skript müssen Sie nichts unternehmen.

Wenn Ihre eigene Website oder Anwendung PHP oder Node.js nutzt, lesen Sie bitte weiter und installieren Sie die Updates noch heute.

Das Wichtigste in Kürze

• Sie nutzen WordPress, Magento, Drupal, Laravel oder eine andere PHP-Anwendung? Dann ist PHP bei Ihnen im Einsatz. Aktualisieren Sie jetzt.

• Sie nutzen Shared Hosting oder Managed Hosting? Ihr Hoster ist für das PHP-Update zuständig. Prüfen Sie, ob es bereits installiert wurde.

• Nach dem PHP-Update müssen Sie PHP-FPM oder Apache neu starten. Sonst läuft die alte Version weiter.

• Sie nutzen eine Version, deren Support ausgelaufen ist (PHP 8.1 oder älter, Node.js 25, 23, 20 oder älter)? Dafür gibt es keine offiziellen Sicherheitskorrekturen mehr. Planen Sie den Wechsel auf eine unterstützte Version.

Was ist passiert?

PHP: „PHP2Shell“ (CVE-2026-109618 und CVE-2026-109619)

Das PHP-Team hat zwei kritische Sicherheitslücken geschlossen. Beide sind auf der CVSS-v4.0-Skala mit 9,2 bewertet:

• CVE-2026-109618: Codeausführung aus der Ferne durch Speicherbeschädigung, wenn PHP während der Verarbeitung einer Anfrage der Arbeitsspeicher ausgeht.

• CVE-2026-109619: Codeausführung aus der Ferne durch einen veralteten globalen Zustand.

Beide Schwachstellen lassen sich in der Standardkonfiguration aus der Ferne und ohne Authentifizierung ausnutzen. Details gelangten einen Tag vor der geplanten Veröffentlichung ins Netz. Sicherheitsfirmen beobachteten deshalb bereits Angriffe und Angriffsversuche auf PHP-Websites, bevor der Patch verfügbar war. Mehrere Unternehmen nahmen ihre Dienste vorsorglich offline, bis sie das Update installieren konnten.

Betroffen sind alle unterstützten PHP-Versionsreihen mit Versionsständen vor 8.2.35, 8.3.36, 8.4.27 und 8.5.12.

Node.js: Sicherheitsupdates vom Oktober 2026

Node.js hat für die Versionsreihen 26.x, 24.x und 22.x insgesamt 10 Sicherheitslücken geschlossen. Bei 4 davon ist der Schweregrad als hoch eingestuft. Die wichtigsten im Überblick:

• CVE-2026-111497: Ein Schreibzugriff außerhalb des vorgesehenen Speicherbereichs im Brotli-Dekompressor könnte die Ausführung von Code aus der Ferne ermöglichen. Schon ein fetch()-Aufruf an einen Server, der Brotli-komprimierte Daten zurückliefert, kann Ihre Anwendung dieser Schwachstelle aussetzen.

• CVE-2026-105483 / CVE-2026-106069: Ungewöhnliche Schreibweisen von IP-Adressen ermöglichen es, die TLS-Prüfung des Hostnamens zu umgehen.

• CVE-2026-105482: dns.resolve konnte einen anderen Namen auflösen als den, den Ihr Code zuvor geprüft hatte.

Was wir getan haben

Wir haben beide Updates heute in der gesamten WireBoard-Infrastruktur eingespielt. Dabei gab es keine Ausfallzeiten, und es waren keine Daten betroffen. An der Nutzung von WireBoard ändert sich für Sie nichts.

Sind Sie betroffen?

Sie müssen handeln, wenn Ihre Website, Anwendung oder Ihr Server eine der folgenden Technologien nutzt:

• PHP, direkt oder über ein CMS oder Framework wie WordPress, WooCommerce, Magento, Drupal, Joomla, Laravel oder Symfony.

• Node.js, etwa für eine Anwendung mit Next.js, Nuxt, Express oder NestJS, einen Backend-Dienst oder einen Build-Server mit Node.

Sie sind sich nicht sicher? Fragen Sie Ihre Entwickler oder Ihren Hosting-Anbieter: „Läuft unsere Website mit PHP oder Node.js, und ist das heutige Sicherheitsupdate bereits installiert?“ Mehr müssen Sie zunächst nicht wissen.

So prüfen Sie Ihre Version

PHP

Entscheidend ist die PHP-Version, die Ihr Webserver verwendet. php -v im Terminal zeigt die Version für die Kommandozeile an. Diese kann davon abweichen.

1. Erstellen Sie im Web-Stammverzeichnis Ihrer Website eine Datei namens info.php mit dem Inhalt <?php phpinfo();

2. Rufen Sie die Datei im Browser auf und prüfen Sie oben den Eintrag PHP Version.

3. Löschen Sie die Datei anschließend sofort wieder: Sie legt Ihre gesamte Serverkonfiguration offen.

Auch viele Hosting-Verwaltungsoberflächen wie cPanel oder Plesk zeigen die PHP-Version an.

Hinweis zu Paketen von Linux-Distributionen: Ubuntu, Debian, RHEL und ähnliche Distributionen übernehmen Sicherheitskorrekturen oft in bestehende Versionen, ohne die Versionsnummer zu ändern. Prüfen Sie in diesem Fall das Änderungsprotokoll des Pakets auf die CVE-IDs (siehe unten).

Node.js

node -v

Das Update ist installiert, wenn v26.12.1, v24.22.1, v22.23.4 oder eine neuere Version derselben Versionsreihe angezeigt wird.

So aktualisieren Sie PHP

Wählen Sie den Abschnitt, der zur PHP-Installation auf Ihrem Server passt.

Shared Hosting oder Managed Hosting

Ihr Anbieter verwaltet PHP und installiert die Sicherheitskorrektur. Prüfen Sie seine Statusseite oder Ankündigungen und kontrollieren Sie die Version anschließend wie oben beschrieben mit phpinfo(). Falls Sie die PHP-Version in Ihrer Verwaltungsoberfläche selbst wählen können und noch 8.1 oder älter nutzen, wechseln Sie auf 8.2 oder neuer. Prüfen Sie vorher, ob Ihr CMS und Ihre Plugins die gewählte Version unterstützen.

Ubuntu / Debian

sudo apt update
# replace 8.3 with the PHP branch you use
sudo apt install --only-upgrade 'php8.3-*'

# confirm the fix is included
apt changelog php8.3-fpm | grep -E 'CVE-2026-10961(8|9)'

Gibt der letzte Befehl nichts aus, ist die Korrektur noch nicht im Paket-Repository Ihrer Distribution angekommen. Prüfen Sie die Ubuntu-Sicherheitshinweise oder den Debian Security Tracker und versuchen Sie es später erneut. Wenn Sie die PHP-Pakete von Ondřej Surý verwenden, aktualisieren Sie diese auf dieselbe Weise aus dessen Repository.

RHEL / AlmaLinux / Rocky Linux

dnf module list php          # see which PHP stream you're on
sudo dnf upgrade 'php*'

# confirm the fix is included
rpm -q --changelog php-fpm | grep -E 'CVE-2026-10961(8|9)'

Wenn Sie das Remi-Repository nutzen, beziehen Sie das Update von dort.

Docker

Ein neues Image herunterzuladen aktualisiert keine bereits laufenden Container. Laden Sie das Image herunter, bauen Sie es neu und erstellen Sie die Container neu:

docker pull php:8.3-fpm        # use your tag
docker compose build --pull
docker compose up -d

Für zusätzliche Sicherheit legen Sie die korrigierte Version in Ihrem Dockerfile fest, zum Beispiel mit FROM php:8.3.36-fpm.

Aus dem Quellcode kompiliert oder unter Windows installiert

Laden Sie die korrigierte Version von php.net/downloads herunter.

Starten Sie PHP anschließend neu

Dieser Schritt wird leicht übersehen. Laufende Prozesse verwenden bis zum Neustart weiterhin die alte PHP-Version:

# PHP-FPM (Debian/Ubuntu; replace 8.3 with your branch)
sudo systemctl restart php8.3-fpm

# PHP-FPM (RHEL family)
sudo systemctl restart php-fpm

# Apache with mod_php
sudo systemctl restart apache2   # or httpd on RHEL

Prüfen Sie danach erneut mit phpinfo(), ob die neue Version tatsächlich läuft.

„Reicht es, eine Einstellung zu ändern?“

Nein. Anfangs kursierten Behelfslösungen wie das Abschalten von session.upload_progress.enabled. Sie verringern das Risiko lediglich. Ein Entwickler aus dem PHP-Kernteam hat öffentlich klargestellt, dass nur ein PHP-Update wirksam Abhilfe schafft. Falls Sie eine solche Behelfslösung eingerichtet haben, behalten Sie sie bis zum Update bei. Das Update ersetzt sie nicht.

So aktualisieren Sie Node.js

Nach dem Update starten Sie Ihre Anwendung neu oder stellen sie erneut bereit. Prüfen Sie die Version mit node -v.

Wenn der Support für Ihre Version ausgelaufen ist

Offizielle Sicherheitskorrekturen gibt es nur für unterstützte Versionen:

• PHP: 8.2, 8.3, 8.4 und 8.5. Für PHP 8.1 und älter erscheinen keine offiziellen Updates mehr. Manche Linux-Distributionen und Anbieter kostenpflichtiger Langzeitunterstützung übernehmen die Korrekturen in ältere Versionen. Fragen Sie bei Ihrem Anbieter nach. Andernfalls ist der Wechsel auf eine unterstützte Versionsreihe der sichere Weg. Beachten Sie: PHP 8.2 erhält nur noch bis zum 31. Dezember 2026 Sicherheitskorrekturen.

• Node.js: 22.x, 24.x und 26.x. Versionsreihen wie 25, 23 und 20 werden nicht mehr unterstützt und erhalten keine Korrektur.

Wenn Sie nicht sofort aktualisieren können, sollten Sie Ihre Website bis dahin mit einer Web Application Firewall absichern oder den Zugriff einschränken.

Weitere Informationen

Offizielle Sicherheitshinweise

• PHP: Neuigkeiten und Versionsankündigungen

• PHP-Sicherheitshinweis GHSA-w8hw-w9fx-j79w (CVE-2026-109618)

• PHP-Sicherheitshinweis GHSA-6wmf-4rv5-p3rp (CVE-2026-109619)

• Unterstützte PHP-Versionen

• Node.js: Sicherheitsupdates vom Mittwoch, 21. Oktober 2026

Hilfreiche Anleitungen

• GoDaddy: Wichtiges PHP-Sicherheitsupdate, was Website-Betreiber jetzt tun müssen (leicht verständlicher Überblick)

• Help Net Security: PHP2Shell behoben, jetzt aktualisieren

• ma.ttias.be: So installieren Sie die PHP-Patches (aktueller Stand nach Distribution)

• Lilting: Die Node.js-Sicherheitskorrekturen vom Oktober 2026 erklärt (ausführliche technische Analyse)