Kundeninformation: Kritische Sicherheitslücken in PHP und unsere Maßnahmen

1. Die Sicherheitslücken

Das PHP-Projekt hat die Veröffentlichung am 20.10.2026 angekündigt. Wegen eines Leaks wurde sie um einen Tag vorgezogen: Die Details und die korrigierten Versionen wurden am 21.10.2026 zwischen ca. 15:40 und 16:00 Uhr (MESZ) bekannt (erste Medienberichte ab 15:42 Uhr, offizielle Ankündigung von PHP um 16:00 Uhr).

Betroffen sind laut PHP alle PHP-Installationen, die Web-Anfragen bearbeiten, darunter PHP-FPM, das auch EGroupware verwendet. Ein Angriff ist ohne Anmeldung möglich und erfolgt, bevor Anwendungscode ausgeführt wird. Es spielt daher keine Rolle, welche PHP-Funktionen EGroupware selbst nutzt.

Vulnerability Description according to the PHP advisory
CVE-2026-109618
“RCE via OOM
corruption”
Wenn PHP während einer Anfrage keinen Speicher mehr bekommt (Out of Memory), kann die Verarbeitung abbrechen, während interne Anfragedaten erst teilweise angelegt sind. Beim anschließenden Aufräumen werden diese ungültigen Daten als gültig behandelt.
CVE-2026-109619
“RCE via stale
global state”
Interne Daten einer Anfrage können weiter bestehen, obwohl ihr Speicher bereits freigegeben wurde. Eine spätere Anfrage, die vom selben PHP-Prozess bearbeitet wird, kann diese veralteten Daten verwenden.

Behoben sind die Lücken in PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35. Laut PHP gibt es keine vollständige Gegenmaßnahme ohne Update.

2. Warum PHP-FPM betroffen ist und was wir daran geändert haben

EGroupware läuft auf PHP-FPM. Dabei bearbeitet ein Pool dauerhaft laufender PHP-Prozesse („Worker“) nacheinander viele Anfragen. Das ist schnell, bedeutet aber auch: Was eine Anfrage in einem Worker hinterlässt, kann die nächste Anfrage im selben Worker beeinflussen. Genau das nutzen die Lücken aus.
CVE-2026-109619: Ein Angreifer schickt eine präparierte Anfrage, die veraltete Daten im Worker hinterlässt. Wird die nächste Anfrage vom selben Worker bearbeitet, kann das zur Ausführung von Code führen. Bestätigte Angriffswege laufen über die PHP-Funktion „Upload-Fortschritt“ (session.upload_progress) und unter PHP 8.5 zusätzlich über Fehler-Backtraces bei schweren Fehlern (fatal_error_backtraces).
CVE-2026-109618: Ein Angreifer bringt PHP gezielt an die Speichergrenze einer Anfrage (memory_limit), damit die Verarbeitung an einer kritischen Stelle abbricht.
Bis zur Verfügbarkeit der korrigierten PHP-Version haben wir deshalb die vom PHP-Projekt empfohlenen Gegenmaßnahmen in der PHP-FPM-Konfiguration gesetzt:

CVE-2026-109619: An attacker sends a crafted request that leaves stale data in the worker. If the next
request is handled by the same worker, this can lead to code execution. Confirmed attack paths use the
PHP “upload progress” feature ( session.upload_progress ) and, on PHP 8.5, additionally error backtraces
for fatal errors ( fatal_error_backtraces ).

CVE-2026-109618: An attacker deliberately pushes PHP to the memory limit of a request ( memory_limit )
so that processing aborts at a critical point.
Until the fixed PHP version was available, we therefore applied the mitigations recommended by the PHP
project in the PHP-FPM configuration.

Die Upload-Größen (post_max_size, upload_max_filesize) sind in EGroupware ohnehin begrenzt. Eine weitere Absenkung, wie sie das PHP-Projekt als zusätzliche Option nennt, haben wir nicht vorgenommen, weil sonst größere Uploads im Dateimanager nicht mehr möglich wären.

3. Unsere Maßnahmen im zeitlichen Ablauf

4. Ergebnis unserer Prüfung

• Wir haben die Protokolle der EGroupware Cloud für den Zeitraum vom 20.10.2026 bis kurz nach dem Einspielen aller Gegenmaßnahmen am 21.10.2026 geprüft und keine Auffälligkeiten gefunden. Die Lücken waren zu diesem Zeitpunkt nicht als aktiv ausgenutzt bekannt. Seit dem 26.10.2026 sind sie bei ENISA und CISA als aktiv ausgenutzt gelistet. Uns sind keine Angriffe auf EGroupware-Instanzen bekannt.
• Der Angriffsweg von CVE-2026-109619 setzt voraus, dass zwei Anfragen nacheinander vom selben PHP-Prozess bearbeitet werden. In der EGroupware Cloud verteilen sich Anfragen auf mehrere PHP-FPM-Server. Zusammen mit der frühen ersten Gegenmaßnahme schätzen wir die Wahrscheinlichkeit einer erfolgreichen Ausnutzung als sehr gering ein.
• Push-Server: Der EGroupware-Push-Server basiert ebenfalls auf PHP (Swoole). Wir haben getestet, ob der Angriffsweg über den Upload-Fortschritt dort ausgenutzt werden kann. Das Ergebnis war negativ. Wir haben die Gegenmaßnahme trotzdem vorsorglich gesetzt und den Push-Server am 22.10.2026 auf eine Version mit dem korrigierten PHP 8.4.27 aktualisiert.
• Collabora Online: Wir haben am 21.10.2026 geprüft, ob Collabora Online und der in der Cloud eingesetzte Collabora-Controller (COOL Controller) betroffen sind. Beide verwenden kein PHP und sind nicht betroffen. Die Zugriffe von Collabora auf Ihre Dokumente laufen über EGroupware und sind durch die Gegenmaßnahmen und das PHP-Update abgedeckt.

5. Zusätzlicher Schutz über das Update hinaus

Zwei der Gegenmaßnahmen haben wir auch nach dem PHP-Update beibehalten. Sie schalten PHP-Funktionen ab, die EGroupware gar nicht benötigt: die Anzeige des Upload-Fortschritts und ausführliche Fehlerberichte bei schweren Fehlern. Für Sie ändert sich dadurch nichts, EGroupware funktioniert wie gewohnt. Für Angreifer gibt es aber weniger Einfallstore: Was abgeschaltet ist, kann auch bei künftigen Lücken nicht ausgenutzt werden.

Das hat sich bereits ausgezahlt: Am 23.10.2026 hat das PHP-Projekt eine weitere, noch nicht behobene Lücke gemeldet (CVE-2026-115560). Als Schutz empfiehlt PHP genau das Abschalten des Upload-Fortschritts. Die EGroupware Cloud und Installationen mit unseren aktuellen Images waren damit schon geschützt, bevor die Lücke bekannt wurde. Die endgültige Korrektur liefert PHP mit dem nächsten regulären Update, das wir wie gewohnt in unsere Images übernehmen.

6. Was Sie tun müssen

7. Weitere Informationen

• Kundeninformation im Forum: deutsch · englisch
• Release EGroupware 26.10.20261021: help.egroupware.org/t/80114
• Release EGroupware 23.1.20261021: help.egroupware.org/t/80120
• Release für Univention Nubus: help.egroupware.org/t/80124
• PHP-Security-Advisory: php.net/archive/2026.php
• The Hacker News: PHP warns of another unpatched flaw (CVE-2026-115560)
• heise online: php2shell: Critical flaws allow code injection in PHP

Bei Fragen erreichen Sie uns über die bekannten Support-Kanäle.

Diese Kundeninformation wurde mit Unterstützung von Claude Code erstellt und von der EGroupware GmbH geprüft.