Zwei kritische Sicherheitslücken in PHP geschlossen, erste Angriffe registriert
Die PHP-Entwickler haben außerplanmäßig Korrekturen für zwei kritische Sicherheitslücken veröffentlicht, die jeweils mit 9,2 von 10 Punkten bewertet wurden. Die Fehler ermöglichen es Angreifern, aus der Ferne und ohne Authentifizierung beliebigen Code auf einem Server auszuführen. Cloudflare hat bereits erste Ausnutzungsversuche festgestellt.
Die Updates erschienen am 21. Oktober: PHP 8.2.35, 8.3.36, 8.4.27 und 8.5.12. Der Zweig 8.1 und ältere Versionen erhalten keine reguläre Unterstützung des Projekts mehr, für die Versionen 7.4, 8.0 und 8.1 wurden jedoch gesonderte Korrekturen des Quellcodes bereitgestellt. Einige Anbieter von Serversoftware bieten zudem eigene Sicherheitsupdates an.
Die erste Schwachstelle, CVE-2026-109618, entsteht durch Speicherbeschädigung bei erschöpftem Arbeitsspeicher. Die zweite, CVE-2026-109619, erlaubt den Zugriff auf einen Speicherbereich, der nach der Verarbeitung der vorherigen Anfrage freigegeben wurde. Beide Fehler können zur Ausführung von Code mit den Rechten des PHP-Prozesses und zur Kompromittierung der auf dem Server gespeicherten Daten führen.
Das größte Risiko besteht nach Einschätzung der Entwickler für Apache-Server mit dem Modul mod_php. Ein Angriff ist ohne Authentifizierung möglich und erfordert nur eine einzige Anfrage; der Schadcode kann sogar schon vor dem Start der eigentlichen Website ausgeführt werden.
Das Ausmaß der Bedrohung ist erheblich: Laut W3Techs wird PHP auf 69,3 % der Websites eingesetzt, bei denen die serverseitige Programmiersprache ermittelt werden konnte. Dazu zählen WordPress, Drupal, Joomla und Magento. Da die Schwachstellen direkt in PHP liegen, behebt ein Update des Content-Management-Systems das Problem nicht.
Die Informationen zu den Fehlern wurden vor dem geplanten Veröffentlichungstermin öffentlich. Cloudflare hat zusätzliche Schutzregeln eingeführt, betont aber, dass diese die Installation der PHP-Korrekturen nicht ersetzen.
Administratoren wird empfohlen, PHP umgehend zu aktualisieren. Ist dies nicht möglich, rät CERT-EU, anfällige Anwendungen vorübergehend vom Internet zu trennen. Zusätzliche Schutzmaßnahmen können das Risiko einzelner Angriffe verringern, garantieren jedoch keine Sicherheit des Servers.