Am 21. Oktober 2026 hat das PHP-Projekt zwei kritische Lücken geschlossen, die ohne Anmeldung zur Codeausführung führen können. Tragen Sie Ihre Domain ein: wir finden die Subdomains, prüfen jedes Projekt und sagen Ihnen, was zu tun ist.
Legen Sie bei Ihrem DNS-Anbieter diesen TXT-Eintrag an. Er gilt für die ganze Domain samt allen Subdomains.
Legen Sie diese Datei auf Ihrer Domain ab. Sie gilt nur für diesen einen Host, Subdomains werden dann nicht geprüft.
Geben Sie oben eine Domain ein. Sie sehen dann je Host, ob PHP läuft, welche Version er nennt und ob die Lücken offen sind - samt den nächsten Schritten.
Wir übernehmen das Update, die Migration auf eine gepflegte Umgebung oder gehen alle Projekte einmal durch. Ihr Befund wird in die Anfrage übernommen.
Kein Host mit offenem Befund. Prüfen Sie versteckte Versionen trotzdem auf dem Server - und wenn Sie einen unabhängigen Blick wünschen, gehen wir alle Projekte gern einmal durch. Audit anfragen
Veröffentlicht am , beide mit CVSS 9.2 und ohne Anmeldung ausnutzbar. Das PHP-Projekt schreibt: Es gibt keine vollständige Gegenmaßnahme, nur das Update ist sicher.
Speicherbeschädigung bei Out-of-Memory
PHP bricht eine Anfrage bei erschöpftem Speicher per longjmp() ab, obwohl interne Anfragedaten erst teilweise aufgebaut sind. Beim Aufräumen werden sie als gültig behandelt. Ausgelöst wird das ohne Anmeldung, etwa durch eine Multipart-Anfrage.
Veralteter globaler Zustand zwischen Anfragen
Zustand einer Anfrage überlebt den freigegebenen Speicher. Eine spätere Anfrage am selben Worker liest ihn, bevor PHP ihn zurücksetzt. Bestätigt ist der Pfad über den Session-Upload-Fortschritt.
Alle Versionen davor sind betroffen. PHP 8.1 und älter bekommen keine Korrektur mehr.
Diese Maßnahmen verschaffen Zeit. Sie ersetzen das Update nicht.
Auf mindestens 8.5.12, 8.4.27, 8.3.36, 8.2.35, je nach Linie. Danach alle PHP-Prozesse neu starten: FPM, Apache, FrankenPHP und Queue-Worker. Bei Docker das Basis-Image neu ziehen und den Container neu erstellen, nicht nur neu starten.
In der php.ini setzen, nicht per ini_set(), und alle Worker neu starten:
session.upload_progress.enabled = 0
memory_limit = -1
post_max_size = 8Mmemory_limit=-1 gehört nur dahin, wo ein Container- oder cgroup-Limit den Speicher begrenzt.
Für Caddy und FrankenPHP, am Anfang des Site-Blocks:
@multipart header_regexp Content-Type (?i)multipart
respond @multipart 403Im http-Kontext eine Map, in jedem PHP-Server-Block die Abfrage:
map $http_content_type $block_multipart {
default 0;
"~*multipart" 1;
}
if ($block_multipart) { return 403; }Der Multipart-Block stoppt auch legitime Datei-Uploads und manche Formulare. Nach dem Update entfernen und Uploads testen. Anfragen, die den Server an einem CDN oder einer WAF vorbei direkt erreichen, umgeht der Block am Rand nicht - setzen Sie ihn auf dem Server selbst.
Wir kümmern uns um das Update, ziehen Ihre Projekte auf eine gepflegte Umgebung oder prüfen alles einmal gründlich. Ihr Befund geht direkt in die Anfrage.
Wir aktualisieren PHP auf allen Ihren Servern und Containern, starten die Prozesse sauber neu und prüfen danach jede Seite.
Update anfragenSie wollen sich um Updates nicht mehr kümmern? Wir ziehen Ihre Projekte auf eine gepflegte Umgebung, die wir aktuell halten.
Migration besprechenWir gehen alle Ihre Projekte durch: Versionen, Schutz am Rand, offene Altlasten. Sie bekommen einen Bericht mit Reihenfolge.
Audit anfragenAlle Versionen vor 8.5.12, 8.4.27, 8.3.36 und 8.2.35. PHP 8.1 und älter bekommen vom PHP-Projekt keine Korrektur mehr; manche Distributionen portieren sie zurück, das müssen Sie bei Ihrem Anbieter erfragen.
Viele Server blenden die PHP-Version aus, was richtig ist. Von außen sehen wir dann nicht, ob die Seite gepatcht ist. Prüfen Sie es auf dem Server mit "php -v", bei Docker mit "docker exec <container> php -v".
Nein. Der Schutz schließt den bekannten Angriffsweg über Multipart-Anfragen. Das Advisory sagt ausdrücklich, dass es keine vollständige Gegenmaßnahme gibt und nur das Update sicher ist. Er verschafft Ihnen Zeit, mehr nicht.
Die Prüfung ganzer Domains fragt jede Subdomain ab und schickt einen Test-POST. Das tun wir nur für Domains, die Ihnen nachweislich gehören. Der Nachweis ist ein TXT-Eintrag oder eine Datei mit einem Einmalwert, den nur setzen kann, wer die Domain verwaltet.
Gespeichert werden die Domain, die Ergebnisse und ein Hash Ihrer Adresse gegen Missbrauch. Das sind Angaben, die die Seiten ohnehin öffentlich ausliefern. Nach 30 Tagen wird alles gelöscht. Der Bericht ist über den Link erreichbar, den Sie erhalten - geben Sie ihn nur weiter, wenn Sie das wollen.
Nein. Der Schnelltest ruft die Startseite ab, wie es ein Browser tut. Die bestätigte Prüfung schickt zusätzlich zwei kleine, harmlose POST-Anfragen, um zu sehen, ob ein Schutz davorsitzt. Es wird nichts ausgenutzt und nichts verändert.
Schildern Sie kurz, was läuft. Sie bekommen eine ehrliche Einschätzung und einen klaren Plan - mit Ihrem Befund aus dem Check.
Datenschutz, klar geregelt.
Notwendige Cookies sichern Formulare und Anmeldung. Marketing oder Weitergabe an Dritte gibt es nicht. Optional: Ihre gewählte Darstellung und eine Reichweitenmessung auf unseren eigenen Servern. Details zum Datenschutz