CVE-2026-109618 und CVE-2026-109619
Über zwei neue Lücken in PHP 8.2 bis 8.5 können Angreifer ohne Login eigenen Code auf Ihrem Shop-Server ausführen und an Kundendaten und Zahlungen gelangen. Betroffen sind Onlineshops mit Shopware, WooCommerce, Magento, PrestaShop, OXID, JTL-Shop, Gambio und anderen PHP-Systemen. Die SecureCommerce Firewall blockt diese Angriffe, bevor sie Ihren Shop erreichen, auch solange das PHP-Update noch aussteht.
Die Firewall stoppt die Angriffe, auch wenn auf Ihrem Server noch die alte PHP-Version läuft.
Sie testen das PHP-Update in Ruhe und spielen es ein, wenn es passt, statt nachts unter Druck zu patchen.
Sie müssen nichts konfigurieren. Die selbstlernenden Filterregeln der SecureCommerce Firewall passen sich automatisch an neue Angriffe an.
Bei Out-of-Memory-Fehlern bricht PHP die laufende Verarbeitung abrupt ab. In manchen Situationen ist der Speicher der Anfrage dann noch nicht initialisiert. Beim anschließenden Aufräumen arbeitet PHP mit diesen undefinierten Daten weiter, und genau das lässt sich zum Einschleusen von Code ausnutzen.
Globale Zustände in PHP können nach dem Ende einer Anfrage weiter auf bereits freigegebenen Speicher zeigen. Folgende Anfragen lesen diese veralteten Daten, bevor sie neu gesetzt werden. Auch das kann zur Ausführung von fremdem Code führen.
Wer Code auf dem Shop-Server ausführt, kommt an Kundendaten und Zahlungsschnittstellen heran. Er kann Lieferadressen umschreiben, Kunden auf gefälschte Zahlungsseiten umleiten oder Malware hinterlegen.
Die Lücken stecken in PHP selbst, nicht in einem einzelnen Shopsystem. Entscheidend ist die PHP-Version, mit der Ihr Shop läuft. Sicher sind erst diese Versionen:
| PHP-Zweig | Sicher ab Version |
|---|---|
| PHP 8.2 | PHP 8.2.35 |
| PHP 8.3 | PHP 8.3.36 |
| PHP 8.4 | PHP 8.4.27 |
| PHP 8.5 | PHP 8.5.12 |
Damit ist jedes PHP-basierte Shopsystem betroffen, solange PHP auf dem Server nicht aktualisiert ist: WooCommerce, Magento, Shopware, PrestaShop, OXID eShop, JTL-Shop, Gambio, xt:Commerce, OpenCart, Zen Cart und osCommerce.
PHP 8.1 und ältere Versionen wie PHP 7.4 werden in den offiziellen Meldungen nicht genannt. Sie erhalten aber überhaupt keine Sicherheitsupdates mehr, auch nicht für künftige Lücken. Für Shops auf veraltetem PHP ist eine vorgeschaltete Firewall die wichtigste Schutzschicht, bis ein Upgrade möglich ist.
Die aktive PHP-Version finden Sie im Kundenbereich Ihres Hosters, im Admin-Bereich Ihres Shopsystems, über phpinfo() oder auf der Kommandozeile mit php -v. Prüfen Sie alle Server, auch Staging- und Testsysteme.
Aktualisieren Sie auf PHP 8.2.35, 8.3.36, 8.4.27 oder 8.5.12 und starten Sie die PHP-Prozesse neu. Laut PHP-Team ist das Update die einzige vollständige Abhilfe. Bei Shared Hosting muss Ihr Hoster das Update ausrollen.
Ist ein Update nicht sofort möglich, empfiehlt das PHP-Team, Anfragen schon vor PHP zu begrenzen: Anfragegröße beschränken, Eingabevariablen, Verschachtelungstiefe und Uploads limitieren und Multipart-Anfragen blockieren, wo der Shop sie nicht braucht.
Die SecureCommerce Firewall blockt Angriffe auf beide Lücken. Dank Plug'n'Play-Integration ist Ihr Shop schnell angebunden.
Die SecureCommerce Firewall schützt Ihren Shop bei diesen Lücken und bei der nächsten. Dank Plug'n'Play-Integration ist Ihr Shop schnell angebunden, den Betrieb übernimmt SecureCommerce als Managed Service.
Anfragen werden gefiltert, bevor sie Ihren Shop-Server erreichen. Selbstlernende Filterregeln halten auffälligen Datenverkehr von PHP fern.
In den Paketen Pro und Plus enthalten: Schutz für neu bekannt gewordene Lücken, auch bevor Sie Ihre Systeme aktualisieren konnten.
Überwachung Ihrer Onlineshop- und Datenbank-Server rund um die Uhr, damit Auffälligkeiten früh erkannt werden.
Erkennung, Blockierung und Bereinigung eingeschleuster Malware auf Ihren Servern.
Damit Kundendaten geschützt bleiben: SQL-Injection- und Session-Hijacking-Angriffe werden in Echtzeit blockiert.
Die SecureCommerce Firewall wehrt Überlastungsangriffe und Bad Bots ab, damit Ihr Shop erreichbar bleibt.
Ja. Die SecureCommerce Firewall blockt Angriffe auf beide Lücken, bevor sie PHP erreichen.
Ja, wenn er auf PHP 8.2 vor 8.2.35, 8.3 vor 8.3.36, 8.4 vor 8.4.27 oder 8.5 vor 8.5.12 läuft. Das gilt unabhängig vom Shopsystem.
Die Lücken liegen in PHP, nicht im Shopsystem. Aktualisieren müssen Sie PHP auf dem Server. Ein Patch-Update innerhalb desselben Zweigs, etwa von 8.3.x auf 8.3.36, ändert in der Regel nichts an der Kompatibilität Ihres Shops.
PHP 7.4 und alle Versionen bis 8.1 werden in den offiziellen Meldungen nicht genannt. Sie erhalten aber keine Sicherheitsupdates mehr, auch nicht für künftige Lücken. Planen Sie ein Upgrade und schalten Sie bis dahin eine Firewall vor.
Senden Sie uns Ihre Shop-URL über das Kontaktformular. Sie erhalten ein Angebot für ein passendes Schutzpaket, ab €49 im Monat.
Senden Sie uns Ihre Shop-URL. Sie erhalten per E-Mail ein Angebot für Ihr Schutzpaket.
Schutz anfragen