PHP & Magento: Sicherheitsupdates September/Oktober 2026

Die letzten acht Wochen waren auf der Serverseite ungewöhnlich dicht: zwei kritische PHP-Schwachstellen mit unauthentifizierter Remote-Code-Execution, ein Magento-Zero-Day, der tatsächlich ausgenutzt wurde, und drei Adobe-Bulletins obendrauf. Weil Runtime und Shop-Software auf denselben Maschinen laufen, fasse ich beides in einem Artikel zusammen. Zeitraum: 1. September bis 31. Oktober 2026. Alle Angaben stammen aus den verlinkten offiziellen php.net- und Adobe-Quellen.

PHP: Security-Releases für alle Zweige am 24. September

Erste Station: Am 24. September 2026 hat das PHP-Team 8.5.11, 8.4.26, 8.3.35 und 8.2.34 als Security-Releases für alle gepflegten 8.x-Zweige veröffentlicht. Der Zyklus umfasst rund ein Dutzend CVEs; drei treffen klassische Server-Setups direkt:

• –CVE-2026-91768 (GHSA-62xp-839h-2637): ein IPv6-ACL-Bypass in PHP-FPMs listen.allowed_clients. Die FastCGI-Prüfung verglich nur 12 von 16 Adressbytes; ein Angreifer im selben /96-Präfix konnte den FPM-Endpunkt erreichen. Unix-Sockets und reine IPv4-Setups sind nicht betroffen.
• –CVE-2026-91769: Die TLS-Hostname-Verifizierung der OpenSSL-Extension fiel nach einem SAN-Fehlschlag auf den Common Name des Zertifikats zurück — vor allem relevant für Verbindungen zu privaten PKIs und internen CAs.
• –CVE-2026-91766: Der HTTP-Stream-Wrapper leitete Authorization- und Cookie-Header bei Cross-Origin-Redirects unverändert weiter.

Pflichtprogramm nach jeder solchen Runde: aktualisieren, FPM-Worker neu starten und php -v auf jedem SAPI prüfen — CLI, FPM-Pool und, wo vorhanden, mod_php. Nicht nur in der Shell.

PHP: Notfall-Release am 21. Oktober — zwei kritische RCEs

Zehn Tage später wurde es ernst. PHP kündigte die Notfallveröffentlichung ungewöhnlich deutlich vorab an und veröffentlichte dann am 21. Oktober 2026 8.5.12, 8.4.27, 8.3.36 und 8.2.35 — mit Fixes für zwei kritische Schwachstellen, eingestuft mit 9,2 (CVSS v4.0, oss-security):

• –CVE-2026-109618 — „RCE via OOM corruption“ (GHSA-w8hw-w9fx-j79w): Ein Out-of-Memory-Abbruch kann PHP mitten in der Request-Initialisierung unterbrechen; beim anschließenden Aufräumen kann der unvollständig initialisierte Request-State als gültig behandelt werden.
• –CVE-2026-109619 — „RCE via stale global state“ (GHSA-6wmf-4rv5-p3rp): Request-eigener State überlebt das Freigeben des Speichers und kann vom nächsten Request desselben Workers wiederverwendet werden.

Beide Bugs erlauben unauthentifizierte Remote-Code-Execution, bevor überhaupt Anwendungscode läuft. php.net schätzt das Risiko bei Apache mit mod_php am höchsten ein — dort existiert ein demonstrierter Exploit; PHP-FPM, php-cgi, FrankenPHP und LiteSpeed sind ebenfalls im Blick. Und im Advisory steht der entscheidende Satz: Es gibt keine vollständigen Mitigationen — das Update ist der einzige sichere Weg. Die dort gelisteten Übergangsmaßnahmen (memory_limit so absichern, dass Anwendungen es nicht überschreiben können; post_max_size klein halten; session.upload_progress.enabled=0) verkleinern die Angriffsfläche, ersetzen es aber nicht.

In derselben Woche ergänzte PHP zwei Hinweise: Am 23. Oktober eine Informations-Advisory zu CVE-2026-115560 — eine unwahrscheinliche Kombination aus Serialize-Handler-Wechsel und Upload-Progress als RCE-Vektor, dessen vollständige Lösung erst mit dem nächsten regulären Bugfix-Release kommt. Am 26. Oktober erschienen neu gebaute Windows-Pakete (8.5.12-1, 8.4.27-1, 8.3.36-1, 8.2.35-1), die Brotli 1.2.1 mit dem Fix für CVE-2026-111497 bündeln; wer PHP unter Windows betreibt, sollte die Rebuilds mit -1 einsetzen, nicht die ursprünglichen Binaries.

PHP 8.2: End of Security Support am 31. Dezember

Neben den aktuellen Lücken bleibt die Frist der größere langfristige Posten: PHP 8.2 erhält nach dem 31. Dezember 2026 keine Security-Fixes mehr; PHP 8.1 und älter bekommen schon länger nichts vom Projekt. Aus meiner Sicht bedeutet das: Jede 8.1- oder 8.2-Inventur braucht jetzt einen terminierten Upgrade-Pfad auf 8.3 oder höher — „nach dem Jahreswechsel“ ist keine Terminierung.

Magento: ein Zero-Day, der ausgenutzt wurde (7. September)

Auf der Anwendungsebene kam der Auftakt am 7. September 2026: APSB26-146 mit CVE-2026-75650 — einer unauthentifizierten Remote-Code-Execution in der Template-Engine (CWE-1336) mit CVSS-3.1-Score 10.0. Adobe bestätigt ausdrücklich, dass die Schwachstelle im Wild ausgenutzt wurde; unter Fachleuten läuft sie unter dem Namen „StyleSmuggler“. Der Ablauf ist unangenehm einfach: Über unzureichend gesäuberte GraphQL-„styles“-Template-Eigenschaften gelangt PHP-Code in eine Datei, die Magento selbst schreibt; das Rendern einer Benachrichtigungs-Vorlage führt ihn dann serverseitig aus (CERTVU Advisory 273).

Betroffen sind Adobe Commerce 2.4.4 bis 2.4.9 (Aug-2026-Builds und älter), Adobe Commerce B2B 1.3.3 bis 1.5.3 und Magento Open Source 2.4.6 bis 2.4.9 — jeweils August-2026-Builds und älter. Gelöst wird das per Hotfix VULN-39341, einem Composer-Patch ohne Versions-Bump; ob er sitzt, zeigt vendor/bin/magento-patches -n status | grep 39341 mit dem Status „Applied“ (Adobe-KB).

Weil die beobachtete Ausnutzung vor dem Fix begann, sollte jeder internetseitige Shop als wahrscheinlicher Kompromittierungsfall behandelt werden — zwei Baustellen: Erstens die Indikatoren aus Advisory 273 gegen Logs und Dateisystem prüfen (getarnte Prozessnamen wie fc-cache oder chronyd an ungewöhnlichen Orten, Webshells unter pub/media/, Dateien mit x_trace_ unter var/report/, ausgehende Verbindungen zu unbekannter Infrastruktur). Zweitens die von Adobe dokumentierte Credential-Rotation abarbeiten: Encryption-Key, Admin-Passwörter, Integrations- und OAuth-Tokens, Zahlungs-Gateway-Zugänge, Datenbank- und Fastly-Credentials, SSH- und Deploy-Keys — jeweils an der Quelle rotiert, nicht nur im Shop.

Magento: zwei weitere Bulletins (8. September und 13. Oktober)

Einen Tag nach dem Zero-Day folgte das reguläre Update APSB26-138 (8. September) mit acht Schwachstellen — darunter zwei Stored-XSS-Privilege-Escalations ohne Authentifizierung (CVE-2026-76200 und CVE-2026-76201) und eine Path Traversal (CVE-2026-77110). Die Fixes kamen als September-Isolated-Patch; das Bulletin erinnert selbst daran, den APSB26-146-Hotfix zusätzlich zu installieren.

Am 13. Oktober folgte APSB26-153 mit elf CVEs für Adobe Commerce, B2B und Magento Open Source auf den September-2026-Builds und älter; laut Adobe ist keine Ausnutzung im Wild bekannt. Die Spitzenwerte nach Bulletin: CVE-2026-103849 (CVSS 10.0, dieselbe CWE-1336-Kategorie wie der Zero-Day, ohne Authentifizierung), CVE-2026-92909 (CVSS 9.8, Incorrect Authorization, in Adobe Commerce B2B) und die Stored-XSS-Privilege-Escalations CVE-2026-91013 und CVE-2026-100133 (je CVSS 9.3). Gepatcht wird über die October-Isolated-Patch-Stände der Zweige. Und der Punkt, den Adobe mehrfach betont (KB): Der Hotfix zu CVE-2026-75650 ist im Oktober-Isolated-Patch nicht enthalten und muss zusätzlich installiert werden.

Was ich jetzt tun würde

In der Praxis laufen PHP- und Magento-Patches meist im selben Wartungsfenster; die Checkliste deshalb in einer Liste:

1. Inventur: Auf jedem Server alle PHP-SAPIs erfassen (php -v in CLI, FPM-Pool und mod_php-Kontext) und den Magento-Build-Stand je Shop festhalten (z. B. 2.4.7-2026-aug).

2. PHP aktualisieren: auf 8.5.12 / 8.4.27 / 8.3.36 / 8.2.35 bzw. das Backport-Paket der eigenen Distribution, alle Worker neu starten, den Versionsstand an jedem SAPI verifizieren. Internetseitige Systeme zuerst. Falls ein Update noch zurückgestellt ist: Advisory-Mitigationen als Verengung anwenden — nicht als Ersatz.

3. Magento patchen: den October-Isolated-Patch der betroffenen Zweige setzen, den September-Isolated-Patch nachziehen, falls die Linie die APSB26-138-Fixes nicht enthält, und den VULN-39341-Hotfix explizit installieren; verifizieren mit vendor/bin/magento-patches -n status | grep 39341.

4. Kompromittierung prüfen: für das Fenster zwischen Ausnutzungsbeginn und Hotfix Logs und Dateisystem gegen die Indikatoren aus Advisory 273 abgleichen, danach die Adobe-Rotationsliste durchgehen und abschließend Cache leeren und neu deployen.

5. Kalenderpflege: das PHP-8.2-Ende am 31. Dezember 2026 in den Upgrade-Plan aufnehmen und Magento-Build-Stände laufend dokumentieren — dann geht die nächste Patch-Runde schneller.

Fazit

Zwei kritische PHP-RCEs und ein ausgenutzter Magento-Zero-Day in acht Wochen sind viel. Technisch war aber nichts dabei, was ein vorbereiteter Patch-Prozess nicht an einem Abend abarbeiten könnte. Der realistische Flaschenhals sitzt davor: Weiß man, welche PHP-Versionen auf welchen Servern laufen, und auf welchem Magento-Build jeder Shop steht? Wenn ja, war der Oktober Routinearbeit. Wenn nein, ist die Inventur das eigentliche Projekt — auch ohne laufende CVE.

Genau dieser Teil ist mein Alltag als Inhaber von Linux-Server-Admin.com s.r.o.: Wir verwalten Linux-Server und PHP-Stacks, halten getestete Update-Pfade und Backups bereit und setzen Notfall-Patches in Wartungsfenstern — zusammen mit den Magento-Teams auf der Anwendungsebene.

Quellen

• –php.net News-Archiv 2026 (Security-Releases 24.9., 21.10., 23.10., 26.10.): https://www.php.net/archive/2026.php
• –oss-security-Post zu CVE-2026-109618: https://www.openwall.com/lists/oss-security/2026/10/21/6
• –PHP-Security-Advisories: https://github.com/php/php-src/security/advisories/GHSA-w8hw-w9fx-j79w und https://github.com/php/php-src/security/advisories/GHSA-6wmf-4rv5-p3rp
• –NVD-Einträge: https://nvd.nist.gov/vuln/detail/CVE-2026-109618 und https://nvd.nist.gov/vuln/detail/CVE-2026-109619
• –PHP Supported Versions: https://www.php.net/supported-versions.php
• –UK NCSC zu CVE-2026-109618/109619: https://www.ncsc.gov.uk/news/critical-security-issue-affecting-php
• –Adobe Security Bulletin APSB26-146: https://www.adobe.com/trust/security/products/commerce/apsb26-146.html
• –Adobe Security Bulletin APSB26-138: https://www.adobe.com/trust/security/products/commerce/apsb26-138.html
• –Adobe Security Bulletin APSB26-153: https://www.adobe.com/trust/security/products/commerce/apsb26-153.html
• –Adobe-KB zum APSB26-146-Hotfix (inkl. Credential-Rotation): https://experienceleague.adobe.com/en/docs/commerce-knowledge-base/kb/announcements/commerce-apsb26-146
• –Adobe-KB zum Oktober-Patch (Hotfix nicht enthalten): https://experienceleague.adobe.com/en/docs/experience-cloud-kcs/kbarticles/ka-49323
• –CERTVU Advisory 273 (Indikatoren): https://cert.gov.vu/index.php/advisories/291-advisory-273