Kritisches PHP-Sicherheitsupdate und Node.js Security Releases am 21. Oktober 2026

Update 21. Oktober 2026 22:36 Uhr:

Systeme von NETNODE sind aktualisiert

Stand 22:36 Uhr: Die Sicherheitsupdates sind eingespielt. Alle von NETNODE betreuten Server und Applikationen laufen auf den gepatchten Versionen — PHP auf Server-Ebene, Node.js in den betroffenen Applikationen. Die angekündigten kurzen Unterbrüche beim Deployen sind damit vorbei.

Betreiben Sie eine Applikation ausserhalb unserer Wartung, ist jetzt der Zeitpunkt zu handeln: Die Releases sind verfügbar, und mit einem veröffentlichten Patch liegt offen, wo die Lücke sitzt. Falls Sie Unterstützung beim Update benötigen, kontaktieren Sie uns.

Ursprüngliche News:

Zwei Sicherheitsupdates am selben Tag

Am 21. Oktober 2026 erscheinen zwei Sicherheitsupdates, die zusammen praktisch jede Webapplikation betreffen: PHP schliesst zwei als kritisch eingestufte Lücken, Node.js veröffentlicht Security Releases für alle aktiven Release-Linien. NETNODE bereitet die Updates für die betreuten Server und Applikationen mit Wartungsvertrag vor und spielt sie ein, sobald die Releases verfügbar sind.

PHP: zwei kritische Lücken, CVSS 9.2

Die PHP Group hat am 20. Oktober 2026 vorab angekündigt, dass am 21. Oktober 2026 um 14:00 UTC ein Sicherheitsrelease erscheint. Es behebt zwei Schwachstellen, beide eingestuft als CVSS v4.0 9.2, Critical. Technische Details, betroffene Versionen und die Nummern der behobenen Releases hält das PHP-Sicherheitsteam bis zum Release zurück — damit nicht vor dem Patch angegriffen wird. Das Team behält sich vor, früher zu veröffentlichen, falls Details öffentlich werden oder aktive Exploits bekannt werden.

Nach Angaben des Sicherheitsunternehmens watchTowr, das eine der beiden Lücken reproduziert hat, handelt es sich um Remote-Code-Execution-Schwachstellen (CVE-2026-109618 und CVE-2026-109619), die sich ohne Login ausnutzen lassen und PHP 5 bis 8 betreffen. Diese Angaben sind nicht offiziell bestätigt — verbindlich ist, was heute Nachmittag im Release steht. PHP-Versionen vor 8.x sind End of Life und erhalten voraussichtlich keinen Patch.

Node.js: alle drei aktiven Release-Linien

Das Node.js-Projekt veröffentlicht am oder kurz nach dem 21. Oktober 2026 neue Versionen der Linien 26.x, 24.x und 22.x. Der höchste behobene Schweregrad ist in jeder der drei Linien HIGH. CVE-Nummern und Beschreibungen folgen mit dem Release.

Wichtig für ältere Projekte: End-of-Life-Versionen von Node.js sind bei einem Security Release immer betroffen und bekommen keinen Fix. Wer auf einer Linie ausserhalb des Supports läuft, muss zuerst auf eine unterstützte Version wechseln. Aktuell sind das v24.22.0 als LTS und v26.12.0 als neuster Release.

Was NETNODE unternimmt

Für alle von NETNODE betreuten Server und Applikationen mit Wartungsvertrag bereiten wir die Updates vor: Wir erfassen, welches Projekt auf welcher PHP- und Node.js-Version läuft, und halten die Deployments bereit. Sobald die Releases verfügbar sind, spielen wir sie ein — PHP auf Server-Ebene, Node.js in den betroffenen Applikationen.

Beim Deployen der Security Updates kann es zu kurzen Unterbrüchen kommen. PHP-FPM und Node-Prozesse müssen dafür neu starten; je nach Projekt sind das wenige Sekunden bis einige Minuten, in denen eine Seite oder Applikation nicht erreichbar ist. Wir halten diese Fenster so klein wie möglich.

Wenn Sie eine Applikation betreiben, die nicht von NETNODE betreut wird, empfehlen wir, heute die eigenen PHP- und Node.js-Versionen zu erfassen und ein Update-Fenster einzuplanen — statt es morgen unter Zeitdruck zu suchen.

NETNODE Empfehlung

Bei einer kritischen Lücke mit CVSS 9.2, die ohne Authentifizierung ausnutzbar ist, zählen Stunden, nicht Tage. Exploits erscheinen erfahrungsgemäss kurz nach dem Release, weil der Patch selbst zeigt, wo die Lücke sitzt. Wer eine Webapplikation betreibt, braucht für solche Fälle einen klaren Prozess: Monitoring der Advisories, kurze Entscheidungswege und ein eingespieltes Deployment. NETNODE übernimmt das für alle betreuten Projekte.

Wie unser Vorgehen bei einem kritischen Update konkret aussieht, beschreiben wir in So handeln wir bei einem kritischen Drupal Security Update. Zuletzt war das am 14. Oktober der Fall: Kritisches Drupal-Sicherheitsupdate (SA-CORE-2026-014).

Diese News aktualisieren wir, sobald die Releases veröffentlicht sind und die konkreten Versionsnummern vorliegen.