php2shell-Patches sind ab sofort für PHP 5.2 bis 8.5 verfügbar

ELS für PHP ist Teil von ELS für Runtimes, das PHP und alle anderen Runtimes abdeckt. Preise:

• Bis zu 10 Lizenzen: 5.000 US-Dollar pro Jahr.
• 11 bis 100 Lizenzen: 9.750 US-Dollar pro Jahr.

Laufzeit: ein Jahr, im Voraus zu zahlen, keine Einrichtungsgebühr.

Online kaufen: https://tuxcare.com/buy/els/?family=rt

Nein. TuxCare bietet weder Einzellizenzen noch Monatsabonnements an. Das kleinste Paket umfasst bis zu 10 Lizenzen für 5.000 US-Dollar pro Jahr.

Online kaufen: https://tuxcare.com/buy/els/?family=rt

Ja. Die Lizenz gilt pro Server. Sie umfasst alle unterstützten PHP-Versionen auf diesem Server (zum Beispiel 7.0, 7.1, 7.2 und 7.3 zusammen) sowie alle darauf gehosteten Domains.

Ja, für PHP-Versionen, die nicht zum System gehören. ELS für CentOS 6 oder 7 gewährt keinen Zugriff auf das „alt-php“-Repository. Für die „alt-php“-Builds ist eine ELS-for-Runtimes-Lizenz erforderlich, die alle verschiedenen PHP-Versionen unterstützt, beispielsweise PHP 7.

Die nativen PHP-Pakete des Betriebssystems (zum Beispiel CentOS 7 php-5.4.16) erhalten über ELS Korrekturen für das Betriebssystem.

Kaufen: https://tuxcare.com/buy/els/?family=rt (wählen Sie „ELS“ für die Laufzeitumgebungen; PHP ist enthalten). In einer Willkommens-E-Mail erhalten Sie den Lizenzschlüssel und die Installationsanleitung.

Installation: Folgen Sie den Anweisungen unter https://docs.tuxcare.com/els-for-runtimes/php/ (wird in einem neuen Tab geöffnet)

Installationsfehler (z. B. „Von CLN wurde kein Token zurückgegeben“): Erstellen Sie ein Support-Ticket unter https://support.tuxcare.com/hc/en-us/requests/new (wird in einem neuen Tab geöffnet). Geben Sie dabei das Betriebssystem, die PHP-Version, den genauen Fehlertext und Ihre Lizenz-ID an.

Online-Kauf: Der Lizenzschlüssel wird direkt nach dem Kauf per Willkommens-E-Mail versendet.

Bestellung: Die Zahlung erfolgt im Voraus. Der Lizenzschlüssel wird nach Eingang der Zahlung versendet.

Die Installation erfolgt über den Paketmanager und erfordert keine Betriebsunterbrechung.

Derzeit bieten wir keine Testlizenzen an.

Japan: Cybertrust (https://www.cybertrust.co.jp/ (wird in einem neuen Tab geöffnet)) bietet lokalen Kauf, lokale Preisgestaltung und Support auf Japanisch.

Südkorea: CUDO Communication (https://www.cudo.co.kr/ (wird in einem neuen Tab geöffnet))

Ja. Das Entwicklungsteam hat die Korrekturen in alle „alt-php“-Zweige zurückportiert: 5.2–5.6, 7.0–7.4 und 8.0–8.5.

Upstream-PHP hat nur die Versionen 8.2.35, 8.3.36, 8.4.27 und 8.5.12 behoben. Für ältere Zweige stammt die Korrektur von TuxCare.

Für PHP 8.1 und ältere Versionen gab es keine Veröffentlichung seitens des PHP-Projekts. Das PHP-Sicherheitsteam hat minimale Backports für 7.4, 8.0 und 8.1 veröffentlicht. PHP 8.2 erreicht am 31. Dezember 2026 das Ende seiner Lebensdauer.

Bei einem festen Build bleibt die alte PHP-Version erhalten und es wird eine neue Versionsnummer vergeben. Beispiel: alt-php74 bleibt bei 7.4.33 und wechselt unter EL7 von Release -79 zu -81.

Um einen bestimmten Zweig und ein bestimmtes Betriebssystem zu überprüfen, nutzen Sie den CVE-Tracker: CVE-2026-109618 und CVE-2026-109619

Auf ELS für Betriebssystemplattformen wurde der Fehler auch in den nativen PHP-Paketen des jeweiligen Betriebssystems behoben. Beispiele: Ubuntu 16.04/18.04/20.04, Debian 10/11, CentOS 6/7/8, RHEL 7, Amazon Linux 2.

In der Sicherheitsempfehlung von PHP werden PHP-FPM, Apache mod_php, php-cgi, FrankenPHP und LiteSpeed genannt. Apache mod_php birgt das höchste Risiko. PHP-FPM, LiteSpeed und FrankenPHP sind in bestimmten Konfigurationen betroffen. PHP weist darauf hin, dass eine Aktualisierung die einzige vollständige Lösung darstellt.

Wir unterstützen PHP 5.2 bis 8.5. Die verfügbaren PHP-Versionen hängen vom Betriebssystem ab:

Linux

• EL6 (CentOS 6, Oracle Linux 6, CloudLinux 6): PHP 5.2–5.6, 7.0–7.4, 8.0–8.3
• EL7 (CentOS 7, RHEL 7, Oracle Linux 7, Amazon Linux 2, CloudLinux 7): PHP 5.2–5.6, 7.0–7.4, 8.0–8.5
• EL8 (AlmaLinux, Rocky Linux, RHEL, Oracle Linux, CentOS 8, CentOS Stream 8, CloudLinux): PHP 5.2–5.6, 7.0–7.4, 8.0–8.5
• EL9 (AlmaLinux, Rocky Linux, RHEL, Oracle Linux, CentOS Stream 9, CloudLinux): PHP 5.2–5.6, 7.0–7.4, 8.0–8.5
• EL10 (AlmaLinux, Rocky Linux, RHEL, Oracle Linux, CloudLinux): PHP 5.3–5.6, 7.0–7.4, 8.0–8.5
• Ubuntu 16.04: PHP 5.5, 5.6, 7.0–7.4, 8.0–8.3
• Ubuntu 18.04, 20.04, 22.04, 24.04: PHP 5.2, 5.6, 7.0–7.4, 8.0–8.5
• Ubuntu 26.04: PHP 5.6, 7.0–7.4, 8.0–8.5
• Debian 10, 11, 12: PHP 5.6, 7.0–7.4, 8.0–8.5
• Debian 13: PHP 5.2–5.6, 7.0–7.4, 8.0–8.5
• Alpine Linux 3.23, 3.24: PHP 7.3, 7.4, 8.0, 8.1

Windows

• Windows Server 2019, 2022, 2025 (x64 und x86): PHP 5.2, 5.4, 5.6, 7.2, 7.3, 7.4, 8.0, 8.1, 8.2

Windows Server 2016 und ältere Versionen sind nicht in dieser Liste enthalten, ebenso wenig wie PHP 5.3, 5.5, 7.0 und 7.1 für Windows.

Vollständige Tabelle: https://docs.tuxcare.com/els-for-runtimes/php/#about-alt-php (wird in einem neuen Tab geöffnet)

Architektur: x86_64 auf allen Linux-Systemen. arm64 unter Debian 12 und 13 sowie unter Alpine Linux. Andere Versionen und Architekturen sind auf Anfrage erhältlich.

Betriebssysteme am Ende ihres Lebenszyklus: CentOS 6, 7 und 8, CentOS Stream 8, RHEL 7, Oracle Linux 6 und 7, Amazon Linux 2, Ubuntu 16.04, 18.04 und 20.04 sowie Debian 10 und 11 haben das Ende ihres Lebenszyklus erreicht. ELS für PHP behebt ausschließlich PHP-Probleme. Für Sicherheitsupdates für das Betriebssystem selbst erwerben Sie bitte zusätzlich ELS für das jeweilige Betriebssystem: https://tuxcare.com/buy/els/ (Liste der Betriebssysteme: https://docs.tuxcare.com/els-for-os/ (wird in einem neuen Tab geöffnet)). Beide Produkte können in einer Bestellung zusammengefasst werden.

Nicht unterstützt: Amazon Linux 1, CentOS 5, Debian 9, SUSE und CentOS 6 (32-Bit).

Amazon Linux 2023 ist nicht in der Liste der von ELS für PHP unterstützten Betriebssysteme aufgeführt. Es ist derzeit nicht in der ELS-Roadmap enthalten, und TuxCare plant, es bei ausreichender Nachfrage in die Roadmap aufzunehmen. Der Support für Amazon Linux 2023 endet im Juni 2029.

ELS for Runtimes deckt die PHP-Versionen 5.2 bis 8.5 ab und umfasst technischen Support rund um die Uhr. Der Support ist unbefristet. Wir haben nicht vor, in den nächsten Jahren eine der PHP-Versionen aus dem Angebot zu nehmen.

TuxCare unternimmt wirtschaftlich angemessene Anstrengungen, um Patches innerhalb der folgenden Fristen bereitzustellen, gerechnet ab dem Datum, an dem eine Sicherheitslücke öffentlich bekannt gegeben wird:

• Kritisches und hohes Risiko (CVSS 7.0 und höher): innerhalb von 14 Tagen
• Mittleres Risiko (CVSS 4.0 bis 6,9): innerhalb von 60 Tagen
• Geringes Risiko (CVSS 0,1 bis 3,9): innerhalb von 90 Tagen

Wir haben noch am selben Tag Korrekturen für diese beiden kritischen CVEs bereitgestellt. Vollständiger Wortlaut: https://docs.tuxcare.com/els-for-runtimes/ (wird in einem neuen Tab geöffnet)

Es wird neben Ihrer aktuellen PHP-Version installiert. ELS für PHP installiert seine eigenen Builds (alt-php) aus dem TuxCare-Repository in /opt/alt/phpXY. Diese Builds laufen unabhängig vom systemeigenen PHP, Remi, Sury, Webtatic, IUS, ea-php, Plesk PHP oder einem benutzerdefinierten Build.

Sie stellen die Websites nacheinander auf „alt-php“ um. Um die Änderung rückgängig zu machen, stellen Sie die Website wieder auf die alte PHP-Version um.

Die Installation erfolgt über den Paketmanager und erfordert keine Betriebsunterbrechung.

TuxCare führt keine Patches für Amazon-Builds oder selbst kompiliertes PHP durch. Sie müssen die Website auf den „alt-php“-Build desselben Zweigs umstellen.

In cPanel erfolgt die Umstellung von ea-php73 zu alt-php73 Es handelt sich um eine Auswahl der PHP-Version pro Konto. Testen Sie dies zunächst auf einem Konto oder in einer Staging-Umgebung.

Ja, es funktioniert mit cPanel, mit Plesk und auch ohne Control Panel.

Kein Control Panel / andere Control Panels: Eine Standard-Apache-Konfiguration reicht aus. Ein Control Panel ist nicht erforderlich. Wir können keine detaillierten Informationen zu den einzelnen Control Panels oder zu älteren Versionen von Control Panels bereitstellen.

cPanel: ELS für PHP funktioniert unter CentOS 7 mit cPanel/WHM 110. Installieren Sie die Pakete und stellen Sie die Websites anschließend auf die „alt-php“-Version desselben Zweigs um. Das im cPanel Store erhältliche Abonnement für TuxCare ELS für PHP bietet dieselben Korrekturen.

Plesk: „alt-php“ wird in Plesk als zusätzlicher PHP-Handler neben den Plesk-PHP-Versionen angezeigt. Sie können diese Option nur für die von Ihnen ausgewählten Websites aktivieren. Die TuxCare-PHP-Erweiterung für Plesk erfordert Plesk 18.0.72 oder höher.

Die gängigsten Erweiterungen sind enthalten. alt-php liefert Erweiterungen als separate Pakete aus. Die Liste der unterstützten Erweiterungen: https://docs.tuxcare.com/els-for-runtimes/php/#supported-os-and-php-versions (wird in einem neuen Tab geöffnet)

Für alt-php73 In cPanel stehen ionCube, OPcache, memcached, GD, intl und die MySQL-Treiber zur Verfügung.

Wenn Sie einen ungewöhnlichen Stapel haben, senden Sie uns bitte die Ausgabe von php -v und php -m sowie eine Liste Ihrer PECL- oder ionCube-Module. Unsere Techniker werden prüfen, welche Module verfügbar sind.

Einige PECL-Erweiterungen werden als alt-php-Pakete ausgeliefert, wie zum Beispiel alt-phpXY-pecl-msgpack und alt-phpXY-pecl-igbinary. Sie können Erweiterungen auch mit pecl installieren. Die ELS für PHP-Dokumentation (wird in einem neuen Tab geöffnet) zeigen, wie man mit phpize eine Erweiterung für alt-php erstellt, und die alt-phpXY-devel Paket, am Beispiel von SaxonC.

Standardmäßige alt-php-Builds werden nicht threadsicher kompiliert. alt-php72 unter EL7 verfügt ebenfalls über ein threadsicheres Paket, alt-php72-zts, das eine zts-php Binärdatei. Thread-sichere Builds anderer Versionen werden auf Anfrage erstellt. Dabei handelt es sich jeweils um separate Builds von PHP und den dazugehörigen PECL-Erweiterungen – etwa 75 Pakete pro PHP-Version. Wenden Sie sich daher bitte an den Vertrieb, um ein Angebot zu erhalten.

Aktualisieren Sie die alt-php-Pakete mit dem üblichen Update-Tool Ihres Systems (yum, dnf oder apt). Die aktualisierte Version wird unter folgendem Pfad installiert: /opt/alt/phpXY. In der TuxCare CVE-Tracker.

TuxCare stellt derzeit keine Patches für Remi-Pakete bereit. alt-php wird neben dem PHP von Remi installiert, unter /opt/alt/phpXY, und Sie verschieben die Websites nacheinander dorthin. Beispielsweise lässt sich „alt-php74“ unter Rocky Linux 9 installieren.

arm64-Pakete sind für Debian 12 und 13 sowie für Alpine Linux 3.23 und höher verfügbar. Das Debian-Installationsskript, install-els-alt-php-deb-repo.sh, richtet das Repository in Debian-12- und Debian-13-Containern auf amd64 und arm64 ein. Führen Sie das Skript mit „bash“ aus, da die Ausführung mit „sh“ zu Fehlern führt. Die Lizenzierung für Container wird separat geregelt; wenden Sie sich daher bitte an den Vertrieb.

Ja, sofern die Vertriebsabteilung dem zustimmt. Die Vertriebsabteilung kann Ihre IP-Adressen zur rsync-Whitelist hinzufügen. Die TuxCare-Repositorys verwenden stets eine tokenbasierte oder IP-basierte Authentifizierung.

TuxCare bietet Quellpakete für ELS für PHP an: src.rpm-Pakete für Enterprise Linux sowie Quell-Tarballs für Debian und Ubuntu. Diese werden den Kunden auf Anfrage zur Verfügung gestellt.

Diese Builds beheben die Sicherheitslücken CVE-2026-109618 und CVE-2026-109619:

• PHP 5.2.17: tuxcare.els9
• PHP 5.4.45: tuxcare.els8
• PHP 5.6.40: tuxcare.els12
• PHP 7.2.34: tuxcare.els9
• PHP 7.3.33: tuxcare.els11
• PHP 7.4.33: tuxcare.els13
• PHP 8.0.30: tuxcare.els8
• PHP 8.1.33: tuxcare.els6
• PHP 8.2.29: tuxcare.els4

Jeder Build mit dieser ELS-Nummer oder höher enthält den Fix. Alle Builds finden Sie unter windows.tuxcare.com/php/<version>/.

• PHP 5.2 und 5.4: nur x86, VC9
• PHP 5.6: x86 und x64, VC11
• PHP 7.2, 7.3 und 7.4: x86 und x64, VC15
• PHP 8.0, 8.1 und 8.2: x86 und x64, vs16

Jede Version ist als threadsichere (TS) und nicht-threadsichere (NTS) Version erhältlich. PHP 5.2 kann nur als x86-Version kompiliert werden, daher gibt es keine x64-Version davon.

Sie benötigen Administratorrechte sowie entweder einen TuxCare-Lizenzschlüssel oder das Authentifizierungstoken, über das Sie bereits verfügen. Sie können die Installation mit dem TuxCare-Installationsprogramm (empfohlen) durchführen, dem tuxcare-installer.ps1 PowerShell-Skript oder manueller Download. Das Installationsprogramm installiert pro Ausführungsvorgang eine PHP-Version.

Wenn PHP bereits installiert ist, wählen Sie entweder „Ersetzen“, wodurch die bisherigen Installationen entfernt werden, oder „Neben der bestehenden Installation“, wodurch diese erhalten bleiben. Das Installationsprogramm erstellt die Datei „php.ini“ auf Basis von „php.ini-production“, fügt den PHP-Ordner zum System-Pfad hinzu und entfernt andere PHP-Ordner aus dem Pfad.

Einige Erweiterungen sind nur mit „TS“ oder nur mit „NTS“ gekennzeichnet und funktionieren nur mit der entsprechenden Version. Für IIS verweist die Dokumentation auf die offizielle PHP-Dokumentation. Wenn im Installationsprogramm „(Nicht authentifiziert)“ angezeigt wird, umfasst Ihre Lizenz oder Ihr Token PHP nicht. Das Installationsprogramm verschiebt deinstallierte PHP-Ordner nach %APPDATA%\TuxCareInstaller\Backups, sodass Sie eine versehentlich gelöschte Version wiederherstellen können.

Ja. Herunterladen tuxcare-installer.ps1 von windows.tuxcare.com, über den Link in der ELS für PHP-Dokumentation (wird in einem neuen Tab geöffnet), und führen Sie es in einer Eingabeaufforderung mit erhöhten Rechten aus. Verwenden Sie zur Automatisierung die Option -ExecutionPolicy Bypass; andernfalls wird bei dem signierten Skript unter „RemoteSigned“ eine einmalige Abfrage nach dem Herausgeber angezeigt. Mit einem einzigen Befehl wird der Server registriert, das Token gespeichert und PHP installiert:

powershell.exe -NoProfile -ExecutionPolicy Bypass -File tuxcare-installer.ps1 -LicenseKey <license key> -Product php -Install "<archive name>" -InstallFolder D:\PHP -Modules curl,mbstring,openssl -NoPath

• Wählen Sie das Archiv anhand seines Dateinamens aus, genau wie -List -Product php druckt es aus. Platzhalter sind zulässig, aber das Muster muss genau einem Archiv entsprechen, da jede Übereinstimmung nacheinander installiert wird.
• Im Archivnamen steht „nts“ für „nicht threadsicher“ (threadsichere Builds enthalten keinen „nts“-Teil), „x64“ oder „x86“ für die Architektur und „vs16“, „vc15“ oder „VC11“ für den Compiler.
• PHP wird in den Installationsordner entpackt, und zwar in einen Unterordner, der nach dem Archiv benannt ist. Der Standard-Installationsordner ist C:\Program Files. Falls dieser Unterordner bereits existiert, schlägt die Installation mit dem Exit-Code 5 fehl.
• Ohne -NoPath, wird der neue Ordner zum System-Pfad hinzugefügt und jeder andere Pfadeintrag, der „php“ enthält, wird entfernt. Mit -NoPath, der Pfad wird bei der Installation oder Deinstallation nicht verändert.
• -Modules listet die Erweiterungen auf, die in der generierten php.ini aktiviert werden sollen. Alle anderen bleiben aufgeführt, sind jedoch deaktiviert. Wenn Sie -Modules Wenn diese Option deaktiviert ist, sind alle Erweiterungen deaktiviert.
• Bei wiederholten Durchläufen weglassen -LicenseKey und das gespeicherte Token wird verwendet. Die Übergabe von -LicenseKey Auf einem bereits registrierten Server schlägt der Vorgang mit dem Exit-Code 2 fehl. Bei der Installation eines bereits installierten Archivs wird die Meldung „bereits installiert“ ausgegeben und der Vorgang mit dem Exit-Code 0 beendet.
• Exit-Codes: 0 – erfolgreich, 2 – bereits registriert, 3 – Registrierung fehlgeschlagen oder kein Token, 4 – keine Übereinstimmung gefunden, 5 – Installation fehlgeschlagen, 14 – keine erweiterten Rechte.

„TuxCare.Installer.exe“ ist ein WiX-Burn-Bundle und unterstützt die üblichen Burn-Schalter: /install, /uninstall, /repair, /layout, /quiet, /passive, /norestart, /forcerestart und /log. Führen Sie die Datei mit erhöhten Rechten aus, um eine Installation im Hintergrund durchzuführen:

TuxCare.Installer.exe /install /quiet /norestart /log C:\Temp\tuxcare-install.log

TuxCare.Installer.exe /uninstall /quiet /norestart deinstalliert und behält das installierte PHP bei. Hinzufügen von UninstallProducts=1 Außerdem wird PHP deinstalliert und die Serverregistrierung aufgehoben.

Die TuxCare-Build-Nummer wird von „php -i“ nicht angezeigt. Sie erscheint nur im Namen der ZIP-Datei, der dem folgenden Muster folgt: php-<version>-tuxcare-els<N>-nts-Win32-vs16-x64-signed.zip. Das PowerShell-Skript entpackt die PHP-Dateien in einen Ordner, der nach dem Archiv benannt ist, jedoch ohne die Erweiterung .zip. Jede ZIP-Datei enthält die Datei „news.txt“, und im Abschnitt „Security (TuxCare ELS Backports)“ dieser Datei sind die in diesem Build zurückportierten CVEs aufgeführt.

Updates erfolgen manuell. Bei einer PHP-Installation ohne Control Panel ersetzen Sie alle Dateien im PHP-Ordner mit Ausnahme der .ini-Dateien; dies funktioniert in den meisten Fällen.

Für Plesk unter Windows gibt es keine TuxCare-Erweiterung. Die ELS-Builds können den Inhalt der entsprechenden Plesk-PHP-Ordner ersetzen, wobei die bereits in diesen Ordnern vorhandenen Erweiterungen von Drittanbietern erhalten bleiben. Die Architektur des Builds muss mit dem zu ersetzenden Plesk-PHP-Ordner übereinstimmen, und die Visual C++-Laufzeitumgebung muss mit dem Compiler des Builds übereinstimmen, der in der obigen Frage zu den Architekturen aufgeführt ist.

Bei einem „Fixed Build“ bleibt die PHP-Version unverändert, und es ändert sich lediglich die Versionsnummer, wie in der obigen Frage zum „Fix-Status“ erläutert wird. TuxCare veröffentlicht folgende Sicherheitsdaten für ELS für PHP:

• Errata-Meldungen zu Sicherheitsproblemen und ausgewählten Fehlerbehebungen: https://security.tuxcare.com/errata/els_alt_php/<os>/
• OVAL-Patch-Definitionen für OpenSCAP und ähnliche Tools: https://security.tuxcare.com/oval/els_alt_php/<os>/oval.xml
• CSAF-Hinweise mit VEX-Daten, aus denen hervorgeht, welche bekannten CVEs bestimmte Paketversionen betreffen: https://security.tuxcare.com/csaf/v2/els_alt_php/<os>/
• Ein RSS-Feed zur Verfolgung von Aktualisierungen: https://tuxcare.com/cve-tracker/api/cves/export/rss?product=PHP (wird in einem neuen Tab geöffnet)

<os> ist der Betriebssystem-Pfadabschnitt, z. B. el8, ubuntu22.04 oder debian12. Errata und CSAF decken EL 6 bis 10, Ubuntu 16.04 bis 24.04, Debian 10 bis 13 und Alpine 3.23 bis 3.24 ab. OVAL deckt dieselben Systeme ab, mit Ausnahme von Alpine. Für Ubuntu 26.04 gibt es nur den RSS-Feed. Pakete und ihre Metadaten werden signiert und über eine von TuxCare verwaltete Registry verteilt. Für einige Pakete sind SBOMs im SPDX- oder CycloneDX-Format verfügbar; die Verfügbarkeit variiert je nach Paket, wenden Sie sich daher bezüglich eines bestimmten Pakets bitte an TuxCare. Details: maschinenlesbare Sicherheitsdaten (wird in einem neuen Tab geöffnet).

TuxCare unterstützt CakePHP (wird in einem neuen Tab geöffnet) im Rahmen von ELS for Language Ecosystems. Die gepatchten Versionen 2.10.24, 4.4.18 und 5.0.11 werden über ein Composer-Repository auf dem Nexus von TuxCare bereitgestellt. Weitere CakePHP-Versionen sind auf Anfrage erhältlich. Für den Zugriff sind Nexus-Zugangsdaten erforderlich, die Sie von TuxCare erhalten. TuxCare fügt auf Anfrage auch weitere PHP-Composer-Pakete hinzu.

Aktualisieren Sie auf eine korrigierte Version. Laut PHP-Entwicklern ist dies die einzige vollständige Lösung. Bis dahin führen Sie bitte folgende Schritte durch:

• Beschränken Sie den Zugriff auf die Website. Verwenden Sie eine AWS-Sicherheitsgruppe mit Zulassungsliste oder ein VPN.
• Set session.upload_progress.enabled = 0. Damit wird ausschließlich ein bekannter Angriffsweg für CVE-2026-109619 geschlossen. Nehmen Sie die Einstellung in der Datei „php.ini“, in einem PHP-FPM-Pool oder in der Serverkonfiguration vor, die vor der Analyse der Anfragen wirksam wird, und starten Sie anschließend alle Worker neu. Verlassen Sie sich hierfür nicht auf „ini_set()“ oder eine PHP-FPM-Datei „.user.ini“.
• Blockieren Sie Multipart-Anfragen (Formular oder Upload), wenn die Website diese nicht benötigt. Speziell gestaltete Multipart-Anfragen lösen CVE-2026-109618 aus.

Imunify360 mit aktivierter WAF erhält automatisch die Regelsätze 8.83 bis 8.88. Der Regelsatz 8.83 blockiert die öffentlich kursierende Exploit-Anfrage. Die Regelsätze fungieren als virtueller Patch: Sie stoppen bekannte Anfragemuster am Serverrand, während der anfällige PHP-Code unverändert bleibt. Stand 23. Oktober 2026 blockiert keine Regel den „Out-of-Memory“-Pfad von CVE-2026-109618. Die Regelabdeckung ist bei LiteSpeed unterschiedlich; Einzelheiten dazu finden Sie im Statusbeitrag von CloudLinux (öffnet in neuem Tab). Imunify360 bei deaktiviertem WAF, ImunifyAV und ImunifyAV+ werden von diesen Regelsätzen nicht abgedeckt. Nur das PHP-Update behebt die Schwachstellen.

Auf einigen Servern ja. PHP hat Korrekturen für die Versionen 7.4, 8.0 und 8.1 in seinen Quellcode-Baum übernommen, ohne dabei neue Release-Versionen zu kennzeichnen, und Skripte der Community erstellen nun PHP aus dem Quellcode neu, wobei diese Korrekturen berücksichtigt werden. Auf diese Weise wird ein Fehler behoben – allerdings nur bei PHP, das Sie selbst kompiliert haben, und nur auf den Plattformen, die von den Skripten automatisch unterstützt werden. Distributionspakete, mod_php und LiteSpeed's lsphp fallen nicht in den Geltungsbereich, und die neu kompilierten Binärdateien erhalten keine weiteren Updates, sodass bei der nächsten PHP-CVE der gesamte Build-Prozess von vorne beginnt. ELS für PHP stellt korrigierte Builds bereit über yum, dnf oder apt, patcht Ihren Branch nach „php2shell“ weiterhin und veröffentlicht OVAL-Daten, die Ihr Scanner lesen kann.