Die aktuellen PHP-Schwachstellen CVE-2026-109618 und CVE-2026-109619 liegen in der PHP-Laufzeit und nicht im Laravel-Framework. Trotzdem sind Laravel-Anwendungen betroffen, sobald sie auf einem ungepatchten PHP-Webserver laufen. Entscheidend ist daher die Aktualisierung der PHP-Umgebung.
Laravel hat für Laravel Cloud nach eigenen Angaben alle laufenden Anwendungen mit den aktuellen PHP-Sicherheitsupdates versorgt. Die Anwendungen blieben dabei online; ein neues Deployment war nicht erforderlich. Wurde ein Deployment während der vorübergehenden Pause abgebrochen, sollte es erneut gestartet werden.
Bei Laravel Forge hängt der notwendige Schritt vom eingesetzten Server ab. Laravel weist darauf hin, dass sowohl Laravel-VPS- als auch reguläre VPS-Installationen aktualisiert wurden, mit Ausnahme von Ubuntu 24.04. Prüfen Sie die aktuelle Forge-Dokumentation und den PHP-Patchstand Ihres konkreten Servers, bevor Sie von einer vollständigen Absicherung ausgehen.
Für Laravel Vapor wurden die nativen Runtimes aktualisiert. Laravel empfiehlt dennoch ein erneutes Deployment, damit die Anwendung zeitnah auf einer gepatchten PHP-Version ausgeführt wird. Anwendungen ohne native Runtime benötigen ein neues Deployment statt eines einfachen Redeployments.
Für selbst betriebene Laravel-Anwendungen bleibt die wichtigste Maßnahme unverändert: Prüfen Sie die PHP-Laufzeit direkt auf dem Produktionsserver und aktualisieren Sie sie auf einen sicheren Patchstand. Die veröffentlichten Versionen sind PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35. Ein Composer-Update oder ein Update von Laravel allein schließt diese Sicherheitslücke nicht.
PHP 7 erhält laut Laravel keine Sicherheitsupdates mehr. Anwendungen auf dieser Versionsreihe sollten deshalb kurzfristig auf eine unterstützte PHP-Version migriert werden. Wenn Sie Unterstützung bei der Bewertung Ihrer Laravel-Anwendung, dem Server-Update oder einem sicheren Deployment benötigen, kontaktieren Sie mich gern.
Quelle: Laravel, PHP critical vulnerability response updates, https://laravel.com/blog/php-critical-vulnerability-response-updates