Aktuelle Informationen zu PHP-Schwachstellen CVE-2026-109618 und CVE-2026-109619

Zusammenfassung

Am 21. Oktober 2026 hat das PHP-Projekt Details und Sicherheitsupdates zu zwei kritischen Schwachstellen veröffentlicht. Die Schwachstellen CVE-2026-109618 und CVE-2026-109619 ermöglichen unter bestimmten Bedingungen eine nicht authentifizierte Remote-Code-Ausführung (RCE) auf Webservern mit PHP-Anwendungen. Betroffen sind grundsätzlich PHP-Installationen, die Webanfragen verarbeiten, u.a. PHP-FPM, Apache mit mod_php, php-cgi, FrankenPHP und LiteSpeed.

Für edoc ist die Schwachstelle relevant, da mehrere Komponenten PHP einsetzen. Wir stufen unsere Produkte daher als betroffen ein.

Das Monthly Release 2026/09.1 mit den erforderlichen Korrekturen steht Ihnen jetzt zur Verfügung. Die Bereitstellung für den Quarterly Channel ist für den 23.10.2026 geplant.

Weiterführende Informationen im Web:

• https://www.php.net/archive/2026.php#2026-10-20-1 (in englischer Sprache)

• RCE via OOM corruption · Advisory · php/php-src (in englischer Sprache)

• RCE via stale global state · Advisory · php/php-src (in englischer Sprache)

• BSI - Bundesamt für Sicherheit in der Informationstechnik - Version 1.0: PHP - Kritische Schwachstellen bedrohen Webanwendungen weltweit (aktuell nur auf Deutsch verfügbar)

Aktualisierungen dieses Artikels

Aktuelle Situation

Die veröffentlichten Informationen bestätigen zwei kritische PHP-Schwachstellen mit Remote-Code-Ausführung:

• CVE-2026-109618 / GHSA-w8hw-w9fx-j79w: Fehler in der Out-of-Memory-Behandlung können dazu führen, dass PHP unvollständig initialisierte interne Request-Daten beim Aufräumen weiterverarbeitet. Unter anderem können speziell präparierte Multipart-Anfragen den Speicherverbrauch kontrolliert erhöhen.

• CVE-2026-109619 / GHSA-6wmf-4rv5-p3rp: Interner globaler Zustand aus einer vorherigen Anfrage kann nach Freigabe des Speichers in einem Worker bestehen bleiben und von einer späteren Anfrage erneut verwendet werden. Dies kann zu Use-after-free, Speicherlecks und Remote-Code-Ausführung führen.

Die vom PHP-Projekt genannten korrigierten Versionen sind PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35. Ein Update auf eine gepatchte PHP-Version ist die einzige vollständige Abhilfe. Übergangsmaßnahmen können das Risiko reduzieren, ersetzen das Update jedoch nicht.

Betroffenheit der edoc-Produkte

Mehrere Anwendungen der edoc business process platform und edoc agent-Komponenten (edoc platform) nutzen PHP-Technologien. Da die Schwachstellen PHP-Installationen betreffen, die Webanfragen verarbeiten, gehen wir von einer Betroffenheit aus und arbeiten an der Absicherung bzw. Aktualisierung der betroffenen Komponenten.

Empfohlene Vorsichtsmaßnahmen

Bis zur Bereitstellung und Installation des Fixes empfehlen wir allen Kunden, den Zugriff auf den Webserver der edoc platform möglichst zu begrenzen. Insbesondere sollte der Zugriff auf HTTPS/Port 443 nur für erforderliche Netze, Benutzergruppen oder vorgeschaltete Schutzsysteme zugelassen werden.

Diese Maßnahme reduziert die Angriffsfläche für nicht authentifizierte Angriffe aus dem Internet, ersetzt aber nicht die Installation der Sicherheitsupdates. Bitte prüfen Sie die Umsetzung anhand Ihrer Infrastruktur und Geschäftsanforderungen.

Geplante Maßnahmen durch edoc

Die Behebung wird in den jeweils aktuellen Releases der folgenden Releasekanäle enthalten sein:

• Monthly Channel

• Quarterly Channel

Wir empfehlen Ihnen dringend, bereits jetzt zu prüfen, ob Sie die aktuelle Version des ausgewählten Releasekanals einsetzen. Wenn Sie aktuelle Versionen nutzen, können Sie erforderliche Sicherheitsupdates schneller übernehmen und dadurch mögliche Wartungs- und Ausfallzeiten minimieren.

Der Fix wurde mit dem Release Monthly 2026/09.1 veröffentlicht. Danach veröffentlichen wir ein Hotfix für das Quarterly 2026/Q3.

Für On-Premises-Kunden wird es eine separate Information über die Möglichkeiten zur Aktualisierung geben.

Bereitstellung der Sicherheitsupdates

Das aktualisierte Release Monthly 2026/09.1 ist verfügbar. Über die Bereitstellung des Quarterly-Hotfixes informieren wir Sie gesondert.

• Kundensysteme mit aktivierten automatischen Updates erhalten die Aktualisierung gemäß ihrer Update-Konfiguration automatisch.

• Bei Kundensystemen ohne automatische Updates müssen die bereitgestellten Aktualisierungen manuell installiert werden.

Hinweis zum edoc agent

edoc agent wird auf Ubuntu-Systemen betrieben. Die dort verwendete PHP-Version wird über die Paketverwaltung des Betriebssystems bereitgestellt. Bei Systemen mit aktivierten Sicherheitsupdates, z.B. über unattended-upgrades, werden entsprechende PHP-Sicherheitsupdates in der Regel automatisch durch das Betriebssystem installiert, sobald die Updates verfügbar sind. Die PHP-Installation auf edoc platform selbst ist nicht betroffen, da die Plattform keinen Webserver bereitstellt, sondern lediglich CLI-Zugriff bietet.

Aktualisieren Sie den Server mit edoc platform (edoc agent) ebenfalls zeitnah. Dadurch wird sichergestellt, dass bei einem anstehenden Synchronisationsprozess (Sync) die aktuelle, gepatchte Version von phpMyAdmin bezogen wird, da phpMyAdmin von der Schwachstelle ebenfalls betroffen war.

Aktueller Status

• Das Monthly Release 2026/09.1 mit den erforderlichen Fixes steht Ihnen jetzt zur Verfügung. Das Hotfix für den Quarterly Channel ist für morgen geplant.

• Details und Sicherheitsupdates zu zwei kritischen PHP-Schwachstellen wurden veröffentlicht.

• Betroffen sind PHP-Installationen, die Webanfragen verarbeiten. edoc setzt PHP ein und stuft die betroffenen Komponenten daher als betroffen ein.

• Die Schwachstellen können unter bestimmten Bedingungen eine nicht authentifizierte Remote-Code-Ausführung ermöglichen.

• Bis zur Bereitstellung des Fixes empfehlen wir dringend, den Zugriff auf den Webserver der edoc platform (Port 443) möglichst zu begrenzen.

• edoc365-Kunden werden automatisch aktualisiert. Der Zugriff auf die Systeme von außen wird aktuell begrenzt.

Wir werden die Situation weiterhin eng beobachten und Sie informieren, sobald belastbare Erkenntnisse oder aktualisierte Versionen verfügbar sind.

Last updated: October 22, 2026