Zusammenfassung:
Das PHP-Entwicklungsteam hat am 21. Oktober 2026 offiziell ein Notfall-Sicherheitsupdate veröffentlicht, um zwei schwerwiegende Sicherheitslücken zu schließen. Diese beiden Schwachstellen tragen die Nummern CVE-2026-109618 bzw. CVE-2026-109619. Beide werden als schwerwiegend eingestuft und können es Angreifern ermöglichen, Code aus der Ferne auszuführen, ohne sich anzumelden. Beamte empfehlen allen PHP-Benutzern dringend, sofort auf die reparierte Version zu aktualisieren, um Serverangriffe zu vermeiden.
Die dieses Mal veröffentlichten festen Versionen umfassen PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35. Beamte wiesen darauf hin, dass die Schwachstelle PHP-Bereitstellungsumgebungen betrifft, die Anfragen über das Netzwerk verarbeiten, darunter PHP-FPM, Apache mit mod_php, php-cgi, FrankenPHP und LiteSpeed. Das PHP-Team betonte ausdrücklich, dass die Umweltrisiken bei der Verwendung von Apache mod_php besonders besorgniserregend seien, da es Beweise dafür gebe, dass Angreifer Angriffe auslösen können, bevor Anwendungscode ausgeführt wird.
Die erste Schwachstelle, CVE-2026-109618, hängt mit dem Mechanismus zur Behandlung von Speicherauslastung zusammen. Wenn PHP auf unzureichenden Speicher stößt, unterbricht das Programm möglicherweise den Verarbeitungsfluss, wenn die internen Anforderungsdaten nicht vollständig initialisiert wurden, und verwendet diese ungültigen Daten dann beim Bereinigen von Ressourcen als gültige Daten. Dieser abnormale Zustand kann zu einer Speicherbeschädigung führen und unter bestimmten Bedingungen weiter ausgenutzt werden, um letztendlich eine Remotecodeausführung zu erreichen.
Die zweite Sicherheitslücke, CVE-2026-109619, betrifft freigegebenen Speicher und einen abgelaufenen internen Status. Einige interne Zustände, die zur aktuellen Anfrage gehören, können nach der Freigabe des entsprechenden Speichers noch bestehen bleiben. Nachfolgende Anfragen, die von demselben Arbeitsprozess verarbeitet werden, verwenden möglicherweise veraltete Daten, bevor diese Zustände durch die normale Initialisierung zurückgesetzt werden, was zu Sicherheitsproblemen führt. Beide Schwachstellen können es Angreifern ermöglichen, die ursprünglichen Programmausführungsgrenzen zu durchbrechen.
Der CVSS v4.0-Score beider Schwachstellen beträgt 9,2, was einen ernsten Wert darstellt. Die Gefahr besteht darin, dass ein Angreifer möglicherweise kein gültiges Konto, Passwort oder andere Authentifizierungsdaten benötigt, um die Sicherheitslücke auszulösen, indem er bestimmte Netzwerkanforderungen erstellt. Wenn der Angriff erfolgreich ist, kann der Angreifer weitere bösartige Befehle ausführen, Daten stehlen, bösartige Programme einschleusen oder Serverprivilegien nutzen, um den Umfang des Eindringens weiter zu vergrößern.
PHP ist eine der häufigsten serverseitigen Programmiersprachen in Internetanwendungen und wird häufig für die dynamische Webseitengenerierung, Datenbankinteraktion und Hintergrundgeschäftsverarbeitung verwendet. Content-Management-Systeme wie WordPress sind ebenfalls auf PHP angewiesen, sodass diese Sicherheitslücke nicht nur eine bestimmte Website-Plattform betrifft, sondern auch die zugrunde liegende Betriebsumgebung. Auch wenn eine Website das WordPress-Kernprogramm und die Plugins aktualisiert hat, kann die Website weiterhin gefährdet sein, solange die PHP-Version auf dem Server noch angreifbar ist. WordPress-Verantwortliche machten außerdem deutlich, dass dieses Problem nicht durch die Veröffentlichung eines WordPress-Core-Updates gelöst werden muss. Websitebesitzer sollten die tatsächlich laufende PHP-Umgebung überprüfen und aktualisieren.
Für Websites, die unterstützte Zweige von PHP 8.2 und höher verwenden, sollten Administratoren so schnell wie möglich die entsprechende Reparaturversion installieren. Benutzer, die noch PHP 8.1 und frühere Versionen verwenden, müssen besonders aufpassen: Diese Versionen erhalten keine Sicherheitsupdates mehr, die direkt vom PHP-Projekt bereitgestellt werden. Einige Linux-Distributionen, Langzeit-Supportanbieter oder andere Anbieter stellen jedoch möglicherweise Rollback-Patches bereit, und relevante Benutzer sollten sich bei ihren Softwareanbietern erkundigen, ob es einen Fix gibt.
Sicherheitsbehörden haben zuvor gewarnt, dass die Website, wenn sie die Schwachstelle nicht rechtzeitig beheben kann, in Erwägung ziehen sollte, den externen Zugriff vorübergehend einzuschränken und das System bei Bedarf offline zu schalten. Die Offenlegung dieser Schwachstelle löste auch in vielen Ländern und Regionen Sofortmaßnahmen aus. Einige europäische Regierungsbehörden haben die Initiative ergriffen, Websites vor der Veröffentlichung des Patches zu schließen, um potenzielle Risiken zu verringern. Reuters berichtet, dass einige Regierungsbehörden in den Niederlanden und Finnland vorbeugende Maßnahmen ergriffen haben, was den tatsächlichen Druck widerspiegelt, den dieser Sicherheitsvorfall auf öffentliche Netzwerkdienste ausgeübt hat.
PHPs offizielle Notveröffentlichung von Patches bedeutet, dass Sicherheitsprobleme, die sich zuvor in der Warnphase befanden, in die eigentliche Reparaturphase eingetreten sind. Für Website-Betreiber besteht derzeit die wichtigste Aufgabe darin, die PHP-Version zu bestätigen, die auf dem Server tatsächlich ausgeführt wird, zu überprüfen, ob der Hosting-Anbieter Updates bereitgestellt hat, und das System auf abnormale Prozesse, nicht autorisierte Dateiänderungen oder verdächtige Netzwerkverbindungen zu überprüfen.
Die Sicherheit einer Website hängt nicht nur von der Anwendung selbst ab, sondern auch davon, ob die zugrunde liegende Betriebsumgebung rechtzeitig gewartet wird. Da PHP weit verbreitet auf verschiedenen Websites und Servern eingesetzt wird, ist die rechtzeitige Installation offizieller Reparaturversionen eine wichtige Maßnahme, um das Risiko dieser beiden schwerwiegenden Sicherheitslücken zu verringern.
Weitere Informationen:
https://www.php.net/archive/2026.php#2026-10-21-5
https://www.php.net/downloads.php
Kommentare