Stand: 21. Oktober 2026, 18:50 Uhr. Zwei kritische PHP-Sicherheitslücken können eine nicht authentifizierte Remote-Code-Ausführung ermöglichen. Die Lücken tragen die Kennungen CVE-2026-109618 und CVE-2026-109619 und betreffen auch PHP-Versionen, die über Plesk bereitgestellt werden.
Die gute Nachricht: Für Plesk auf Linux sind die korrigierten PHP-Pakete für die aktuellen Versionen bereits veröffentlicht. Die wichtige Einschränkung: Der PHP-Unterbau des Plesk-Panels, sw-engine, benötigt einen eigenen Hotfix, der derzeit noch nicht veröffentlicht ist.
Was ist passiert?
Die beiden Fehler liegen im PHP-Kern. Unter bestimmten Bedingungen kann ein speziell formulierter Webrequest interne Zustände von PHP beschädigen. Dadurch kann ein Angreifer Code auf dem Server ausführen, ohne sich vorher anmelden zu müssen. Das Risiko betrifft deshalb nicht nur WordPress, sondern grundsätzlich öffentlich erreichbare PHP-Anwendungen.
Die PHP-Entwickler bewerten beide Lücken als kritisch. Sie empfehlen, die betroffenen Versionen unmittelbar zu aktualisieren. Eine Konfigurationsänderung ersetzt das Sicherheitsupdate nicht.
Welche PHP-Versionen sind korrigiert?
| PHP-Zweig | Korrigierte Version unter Plesk Linux |
|---|---|
| PHP 8.5 | 8.5.12 |
| PHP 8.4 | 8.4.27 |
| PHP 8.3 | 8.3.36 |
| PHP 8.2 | 8.2.35 |
| PHP 8.1 | 8.1.34, wenn der Build am 21. Oktober 2026 erstellt wurde |
| PHP 8.0 | 8.0.30, wenn der Build am 21. Oktober 2026 erstellt wurde |
| PHP 7.4 | 7.4.33, wenn der Build am 21. Oktober 2026 erstellt wurde |
Plesk hat inzwischen auch korrigierte Builds für PHP 8.1, 8.0 und 7.4 veröffentlicht. Bei diesen älteren Zweigen reicht die Versionsnummer allein jedoch nicht aus: Entscheidend ist, dass der Build am 21. Oktober 2026 erstellt wurde. Für neue Projekte bleibt der Wechsel auf einen unterstützten PHP-Zweig die bessere Lösung, weil PHP 8.1 und ältere Versionen vom PHP-Projekt selbst keine regulären Updates mehr erhalten.
Was bedeutet das für Plesk?
Plesk verwendet für die eigene Verwaltungsoberfläche einen separaten PHP-Unterbau namens sw-engine. Dieser ist unabhängig vom PHP-Handler einer einzelnen Website. Selbst wenn eine WordPress-Website bereits PHP 8.4.27 oder PHP 8.5.12 nutzt, kann das Panel noch einen älteren sw-engine-Stand verwenden.
Plesk hat den Hotfix für die Versionen 18.0.80 und 18.0.81 als 18.0.80#11 beziehungsweise 18.0.81#4 angekündigt. Für Plesk 18.0.81 ist die Veröffentlichung laut Plesk inzwischen vorgesehen; der Hotfix befindet sich aber noch in der Testphase und es gibt weiterhin keine feste Uhrzeit. Der Aufruf von plesk installer update kann deshalb noch melden, dass bereits die aktuellste Version installiert ist.
Was sollten Administratoren jetzt tun?
- PHP-Handler prüfen: In Plesk unter „Tools & Einstellungen“ → „PHP-Einstellungen“ nachsehen, welche Versionen von den Domains verwendet werden.
- Aktuelle Plesk-Pakete installieren: Für PHP 8.2 bis 8.5 die Plesk-Updates über die normalen Paket- oder Plesk-Updatewege einspielen und anschließend die tatsächlich aktive Version prüfen.
- Das Panel zusätzlich schützen: Den Zugang zur Plesk-Oberfläche bis zum
sw-engine-Hotfix nur für vertrauenswürdige IP-Adressen erlauben oder den Panel-Dienst vorübergehend deaktiviert lassen, wenn kein administrativer Zugriff benötigt wird. - Keine Scheinlösung verwenden: Einstellungen wie ein abgeschalteter Datei-Upload können einzelne Angriffswege reduzieren, ersetzen aber keinen gepatchten PHP-Unterbau.
- Nach dem Update prüfen: Webserver-, PHP-FPM-, Plesk- und Authentifizierungsprotokolle kontrollieren. Bei Auffälligkeiten sollten Backups, Benutzerkonten und laufende Prozesse zusätzlich geprüft werden.
Meine Einschätzung
Für öffentlich erreichbare Websites ist ein Update der verwendeten PHP-Handler der erste Schritt. Für die Plesk-Verwaltung bleibt der angekündigte sw-engine-Hotfix entscheidend. Bis dieser verfügbar ist, sollte die Panel-Oberfläche möglichst nicht öffentlich erreichbar sein. Nach der Veröffentlichung sollte der Hotfix installiert und der Panel-Dienst erst danach wieder freigegeben werden.
Weiterführende Informationen
- Offizielle Plesk-Sicherheitsmeldung zu CVE-2026-109618 und CVE-2026-109619
- PHP: Sicherheitsmeldung und aktuelle Versionen
- CVE-2026-109618 im CVE-Register
- CVE-2026-109619 im CVE-Register
- Plesk: Updates installieren
Dieser Beitrag beschreibt den öffentlich bekannten Stand vom 21. Oktober 2026 um 18:50 Uhr. Versionsstände und Verfügbarkeit von Herstellerpaketen können sich kurzfristig ändern.
