Betroffenheit technisch sauber erfassen

Der Hersteller führt den Fehler auf eine problematische Bereinigung teilweise initialisierter interner Daten zurück. Besonders kritisch bewertet PHP Apache mit mod_php; auch PHP-FPM muss berücksichtigt werden. Die korrigierten Upstream-Versionen sind 8.5.12, 8.4.27, 8.3.36 und 8.2.35.

Diese Versionsangaben sind der Ausgangspunkt, nicht der gesamte Prüfbericht. Bei Herstellerpaketen kann eine Korrektur zurückportiert sein. Erfassen Sie deshalb Paketname, vollständige Paketrevision, Lieferant und die konkrete Aussage zum CVE. Ordnen Sie diesen Nachweis anschließend den tatsächlich laufenden Anwendungen zu.

Keine pauschalen Konfigurationsrezepte übernehmen

Die vorübergehenden Herstellermaßnahmen betreffen einzelne Angriffspfade und ersetzen das Update nicht vollständig. Insbesondere Änderungen an Speichergrenzen müssen im Zusammenhang mit Ressourcenbegrenzung und Verfügbarkeit bewertet werden. Eine aus einem Forum kopierte Einstellung kann sonst neue Betriebsprobleme verursachen.

Für die Durchführung empfiehlt sich ein kurzes Änderungsblatt: Ausgangsstand, gewählte Korrektur, betroffene Dienste, Rückfalloption und Abnahmekriterien. Bei mehreren Servern sollte eine repräsentative Anwendung zuerst geprüft werden. Danach lässt sich derselbe dokumentierte Ablauf mit den jeweiligen lokalen Besonderheiten wiederholen.

Den Abschluss an Belegen festmachen

Ein erfolgreicher Paketdownload ist noch kein Beweis, dass alle Anfragen die neue Laufzeit verwenden. Kontrollieren Sie die gestarteten Prozesse und die Anwendung über ihren tatsächlichen Webzugang. Vergessene Pools, Nebeninstanzen und Testsysteme gehören ebenfalls in die Nachkontrolle.

Erfassen Sie beobachtete Fehler vor und nach der Änderung. Neue Ausfälle benötigen eine technische Erklärung; vorhandene Auffälligkeiten dürfen nicht allein dem Update zugeschrieben werden. So lässt sich unterscheiden, ob eine Anpassung, eine weitere Untersuchung oder eine betriebliche Freigabe erforderlich ist.

Ihre Checkliste für den nächsten Schritt

  • Vollständige Paketrevision und CVE-Nachweis sichern.
  • Alle betroffenen Dienste und Pools berücksichtigen.
  • Webanwendung und wichtige Hintergrundprozesse nachprüfen.

Häufige Fragen

Ist ein Speicherlimit bereits ein vollständiger Schutz?

Nein. Die temporären Maßnahmen des Herstellers decken nicht sämtliche Wege ab. Die konkrete Update- oder Isolationsentscheidung muss für das betroffene System getroffen werden.

Warum genügt die PHP-Version im Terminal nicht?

Das Terminal kann eine andere Installation verwenden als die Webanwendung. Der Nachweis muss deshalb auch den zuständigen Webserver beziehungsweise PHP-Pool erfassen.

Quellen & weiterführende Informationen

PHP: Advisory zu CVE-2026-109618 ↗CERT-EU: Betroffenheit und Empfehlungen ↗

Fachliche Orientierung, Stand 25.10.2026. Der konkrete Befund erfordert Zugriff auf die betroffene Umgebung und eine abgestimmte Prüfung.