PHP behebt zwei kritische Schwachstellen mit einem CVSS-Wert von 9,2, die Remote-Code-Ausführung ermöglichen

PHP hat am 21. Oktober 2026 Sicherheitsupdates veröffentlicht, nachdem zwei Schwachstellen mit den Kennungen CVE-2026 entdeckt wurden, die öffentlich erreichbare Installationen betreffen und einen CVSS-4.0-Wert von 9,2 aufweisen. Das PHP-Sicherheitsteam forderte die Nutzer auf, die Patches umgehend zu installieren. Die Schwachstellen werden als CVE-2026-109618 und CVE-2026-109619 geführt. Bei der ersten kommt es während der Behandlung eines Speichermangels zu einer Beschädigung: Beim Bereinigen einer Anfrage kann PHP auf ungültige Daten zugreifen, wodurch ein Angreifer möglicherweise aus der Ferne Code ausführen kann.

CVE-2026-109619 betrifft einen veralteten globalen Zustand, der auf freigegebenen Anfragespeicher verweisen kann. Eine spätere Anfrage kann auf diesen Speicher zugreifen, bevor das Programm seinen Zustand vollständig initialisiert hat. Auch dadurch besteht das Risiko einer Remote-Code-Ausführung. Laut der Warnmeldung sind unter anderem PHP-FPM, Apache mit mod_php, php-cgi, FrankenPHP und LiteSpeed betroffen.

Die korrigierten Versionen sind PHP 8.2.35, 8.3.36, 8.4.27 und 8.5.12. Für PHP 8.1 und ältere Versionen veröffentlicht das PHP-Projekt keine Updates mehr, einige Distributionen und Anbieter mit langfristigem Support könnten jedoch zurückportierte Fehlerbehebungen bereitstellen. Die Schwachstellen stehen außerdem im Zusammenhang mit Berichten über erste Angriffe im Fokus.

Cloudflare-CTO Dane Knecht erklärte, das Unternehmen aktualisiere vorübergehende Abwehrmaßnahmen, sobald neue Angriffsvektoren auftauchten. Zugleich warnte er, diese Maßnahmen seien kein Ersatz für die Installation der PHP-Updates.

Da erste Angriffe gemeldet wurden und Firewall-Maßnahmen als vorübergehend gelten: Wie schnell sollten Website-Betreiber die PHP-Patches installieren?