Am 21. Oktober 2026 wurden zwei kritische Sicherheitslücken in PHP veröffentlicht: CVE-2026-109618 und CVE-2026-109619. Beide Schwachstellen sind nach dem Common Vulnerability Scoring System (CVSS) mit 9,2 bewertet und gelten damit als kritisch. Unter bestimmten Voraussetzungen können Angreifer darüber Schadcode auf betroffenen Systemen ausführen, und zwar ohne vorherige Authentifizierung. Fachleute sprechen in diesem Fall von Remote Code Execution (RCE).
Welche PHP-Versionen betroffen sind
PHP 8.2 vor Version 8.2.35
PHP 8.3 vor Version 8.3.36
PHP 8.4 vor Version 8.4.27
PHP 8.5 vor Version 8.5.12
ältere, nicht mehr unterstützte PHP-Versionen
Betreiber betroffener Systeme sollten die bereitgestellten Sicherheitsupdates umgehend installieren.
Entwarnung für Enginsight-Kunden
Die Enginsight-Plattform ist von beiden Sicherheitslücken nicht betroffen. Enginsight setzt innerhalb seiner Plattform kein PHP ein. Für unsere Software besteht daher weder durch CVE-2026-109618 noch durch CVE-2026-109619 eine unmittelbare Gefährdung.
Unsere Kunden können die Enginsight-Plattform weiterhin uneingeschränkt nutzen. Ein sicherheitsbedingtes Update der Plattform ist aufgrund dieser Schwachstellen nicht erforderlich.
