trydabble
Alle Sicherheitsupdates

Patchpad / PHP

So prüfst du deine PHP-Version und bekommst die Korrektur vom Oktober 2026

Zuletzt geprüft (KST)

PHP läuft unter WordPress und vielen anderen Seiten, oft von deinem Hoster verwaltet. Die Version deiner Seite kann sich von der auf der Kommandozeile unterscheiden, und ein Hoster kann PHP reparieren, ohne die Nummer zu ändern.

WordPress-Seiten: Diesmal muss PHP aktualisiert werden

Wenn du WordPress nutzt: Laut WordPress.org ist für diese PHP-Korrekturen kein WordPress-Update nötig; entscheidend ist das PHP-Update. In WordPress siehst du die PHP-Version unter Werkzeuge → Website-Zustand → Bericht → Server.

Zur WordPress-SeiteHinweis von WordPress.org (2026-10-21)Veröffentlicht

Diese Seite prüft keine Website. Sie erklärt, wie du deine eigene prüfst.

Was passiert ist

Am 21. Oktober 2026 (23:00 KST) hat PHP Korrekturen für zwei kritische Fehler in PHP selbst veröffentlicht. Betroffen sind PHP-FPM, Apache mod_php, php-cgi, FrankenPHP und LiteSpeed, egal welche App darauf läuft, WordPress eingeschlossen. In den Worten von PHP: „All PHP users are strongly encouraged to update immediately.“ Oft „PHP2Shell“ genannt; das ist ein inoffizieller Spitzname, den PHP selbst nicht verwendet. www.php.net

Aktuelle Sicherheitsmeldungen

Beginnt deine Version mit der Zahl links, brauchst du die rechte Version oder neuer.

MeldungEinstufung (Hersteller)Behoben in
PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35 (Oktober 2026)CVE-2026-109618, CVE-2026-109619Herstellermeldungwww.php.netAußerdem: PHP-Sicherheitsmeldung GHSA-w8hw-w9fx-j79w, PHP-Sicherheitsmeldung GHSA-6wmf-4rv5-p3rp, ChangeLog-8.php, CVE-2026-109618 (cve.org), CVE-2026-109619 (cve.org)Veröffentlicht2026-10-21Zuletzt geprüft2026-10-22 (KST)Einstufung (Hersteller)

Kritisch

CVSS v4.0 9.2

Behoben in
  • 8.5:8.5.12oder neuer
  • 8.4:8.4.27oder neuer
  • 8.3:8.3.36oder neuer
  • 8.2:8.2.35oder neuer

8.1 und älter: keine offizielle PHP-Version. Distributionen und Anbieter mit Langzeit-Support liefern eventuell eigene Korrekturen. Für alle, die aus dem Quellcode bauen, hat das PHP-Sicherheitsteam minimale Quellcode-Backports für PHP 7.4, 8.0 und 8.1 bereitgestellt. PHP 8.2 erreicht am 2026-12-31 das Ende seines Supports.

PHP 8.5.11, 8.4.26, 8.3.35 und 8.2.34 (September 2026)CVE-2026-91768, CVE-2025-1218, CVE-2026-91769, CVE-2026-91767, CVE-2026-6103, CVE-2026-91765, CVE-2025-14181, CVE-2026-92842, CVE-2026-91766, CVE-2026-93682, CVE-2026-17545Ein früheres Sicherheitsrelease. Die Versionen vom Oktober 2026 enthalten diese Korrekturen ebenfalls.Herstellermeldungwww.php.netAußerdem: ChangeLog-8.phpVeröffentlicht2026-09-24Zuletzt geprüft2026-10-22 (KST)Einstufung (Hersteller)

Siehe Herstellerseite

PHP: „Sicherheitsrelease“

Behoben in
  • 8.5:8.5.11oder neuer
  • 8.4:8.4.26oder neuer
  • 8.3:8.3.35oder neuer
  • 8.2:8.2.34oder neuer

So prüfst du deine Version

Hosting-Panel

  • Hosting-Panels wie cPanel (Select PHP Version oder MultiPHP Manager) und Plesk zeigen die PHP-Version jeder Seite.

Admin-Bereich oder Projektdateien

  • WordPress-Seiten: Werkzeuge → Website-Zustand → Bericht → Server zeigt die PHP-Version, die die Seite wirklich nutzt.

Kommandozeile

  • Führe dies auf dem Server aus. Kommandozeile und Webserver können verschiedene PHP-Builds nutzen, also verlass dich für die Seite selbst auf das Panel oder den Website-Zustand.

    php -v

  • Eine vorübergehende phpinfo()-Seite zeigt die Version ebenfalls. Wenn du eine anlegst, lösch sie gleich danach: Sie zeigt allen Details deines Servers.

So aktualisierst du

Dein Hoster oder deine Plattform betreibt es

  • Verwaltetes oder Shared Hosting: Frag deinen Hoster. PHP sagt, Linux-Distributionen und Anbieter mit Langzeit-Support haben die Patches vorab bekommen. www.php.net

  • Eine Distribution kann PHP patchen, ohne die Versionsnummer zu ändern. Wirkt die Nummer alt, frag deinen Hoster oder sieh in der Meldung oder im Paket-Changelog deines Anbieters nach.

Du betreibst den Server selbst

  • Selbst betrieben: Installiere das aktualisierte PHP-Paket deiner Distribution und starte danach jeden PHP-Prozess neu (PHP-FPM, Apache), damit die Korrektur geladen wird.

  • Container: Hol oder baue das Image mit dem behobenen PHP neu und erstelle den Container neu.

  • Wenn du das ehrenamtliche Remi-Repository nutzt: PHP schrieb am 2026-10-21, dass es an dem Tag keine Updates haben würde, und empfahl Pakete der Distribution oder einen Build aus dem Quellcode. www.php.net

Wenn du noch nicht aktualisieren kannst

PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35 (Oktober 2026)

In den Worten von PHP: „There are no complete mitigations, updating is the only safe choice.“ PHP nennt außerdem Einstellungen, die einige Wege verkleinern, aber „do not make an installation safe“. Sie sind für die Person, die deinen Server betreibt. www.php.net

Für deine Server-Administration
  • Setz memory_limit=-1 so, dass es nicht überschrieben werden kann.
  • Halte post_max_size niedrig.
  • Begrenze den Speicher über Container- oder cgroup-Limits (nicht RLIMIT_AS oder RLIMIT_DATA).
  • Setz session.upload_progress.enabled=0 und starte danach die PHP-Prozesse neu.
  • Unter PHP 8.5 setz fatal_error_backtraces=0.

Was du deinen Hoster fragst

Kopiere den Text, fülle die Klammern aus und schicke ihn über den Support deines Hosters.

Hallo, meine Seite [deine Domain] liegt bei euch. Am 21. Oktober 2026 hat PHP Sicherheitskorrekturen veröffentlicht (8.5.12, 8.4.27, 8.3.36 und 8.2.35; CVE-2026-109618 und CVE-2026-109619). Könnt ihr mir sagen, welche PHP-Version meine Seite nutzt und ob sie diese Korrekturen schon enthält, auch als Backport der Distribution? Falls nicht: Wann wird aktualisiert, und müssen die PHP-Prozesse neu gestartet werden? Danke.

Herstellerquellen

Zuletzt geprüft (KST)