PHP hat Notfall-Sicherheitsupdates für zwei kritische Schwachstellen veröffentlicht, die auf verwundbaren Webservern die Ausführung von Remote Code ermöglichen können. Die Schwachstellen, geführt als CVE-2026-109618 und CVE-2026-109619, betreffen Berichten zufolge eine breite Palette an PHP-Installationen.
Administratoren sollten je nach eingesetztem Zweig auf PHP 8.5.12, 8.4.27, 8.3.36 oder 8.2.35 aktualisieren. Auch Ubuntu hat aktualisierte PHP-Pakete verteilt.
Der KrebsOnSecurity-Bericht bezeichnet beide Schwachstellen als Zero-Days und berichtet, Experten hätten funktionierende Exploits und Angriffe in freier Wildbahn beobachtet. Cloudflare hat gesondert erklärt, einige Ausnutzung festgestellt zu haben, und mitgeteilt, dass um 3:02 Uhr UTC WAF-Regeln (Web Application Firewall) bereitgestellt wurden.
Wie die beiden PHP-Schwachstellen funktionieren
Beide Fehler betreffen die unsichere Speicherverwaltung zwischen PHP-Kontexten zur Anfragenverarbeitung, erreichen diesen Zustand jedoch über unterschiedliche Mechanismen.
Bei CVE-2026-109618 verwendet PHP longjmp(), um den aktuellen Kontext zu verlassen, wenn ein Out-of-Memory-Fehler auftritt, und die Anfrage abzubrechen. In einigen Kontexten kann die Software anschließend eine Speicherreservierung durchführen, während der Speicher der Anfrage noch nicht initialisiert ist. Der Bereinigungscode kann dann diesen Speicher lesen oder Kontrollflussentscheidungen auf Basis seines Inhalts treffen. Laut der NVD-Beschreibung können mehrere Out-of-Memory-Strategien diesen Zustand zuverlässig herbeiführen und zur Ausführung von Remote Code führen.
CVE-2026-109619 betrifft einen globalen PHP-Zustand, der vorübergehend auf Speicher zeigt, der zu einer Anfrage gehört. Dieser Zustand wird möglicherweise nicht korrekt zurückgesetzt oder nach einem Zurücksetzen erneut gefüllt. Er kann daher weiterhin auf Anfragespeicher verweisen, nachdem dieser freigegeben wurde. Eine spätere Anfrage kann diesen veralteten Zustand lesen oder darauf verzweigen, bevor die Initialisierung abgeschlossen ist, und so wiederum einen Weg zur Ausführung von Remote Code schaffen.
Beide Schwachstellen werden den Klassifikationen CWE-416, CWE-755, CWE-824 und CWE-1325 zugeordnet. Diese decken die Verwendung nach der Freigabe (Use-after-Free), die unzureichende Behandlung von Ausnahmezuständen, den Zugriff auf nicht initialisierte Zeiger sowie die fehlerhafte Steuerung sequenzieller Speicherreservierungen ab.
Ein breiter, aber unterschiedlich beschriebener Einsatzbereich
Dem Bericht zufolge sind Webserver mit PHP 5.4 oder neuer betroffen. Wiz, eine der Organisationen, denen die Entdeckung der Fehler zugeschrieben wird, erklärt, dass jede PHP-Version der vergangenen zehn Jahre für mindestens einen der beiden Fehler anfällig ist.
Laut demselben Bericht müssen fast 70 Prozent der Websites ihre Kernsoftware aktualisieren, wobei allerdings die Quelle dieser Schätzung nicht genannt wird. Dieser Prozentsatz bezieht sich auf Websites und nicht auf eine Anzahl von Servern, Kunden, Konten oder betroffenen Personen.
PHP wird von Websites, die mit Drupal, Magento, Joomla und WordPress erstellt wurden, weitgehend genutzt. Das bedeutet nicht, dass die Schwachstellen in diesen Content-Management- und E-Commerce-Plattformen liegen: Die gemeldeten Fehler stecken in der zugrunde liegenden PHP-Laufzeitumgebung.
Ausnutzung könnte zur Übernahme von Servern und zur Offenlegung von Daten führen
Cloudflare nennt Denial of Service, Remote Code Execution und Offenlegung von Daten als mögliche Folgen. Die WAF-Regeln können helfen, erkannten Angriffsverkehr zu blockieren, ersetzen aber nicht die Installation der korrigierten PHP-Pakete.
Wiz erwartet, dass Angreifer eine groß angelegte Ausnutzung verfolgen und Web-Shells einsetzen. Eine Web-Shell würde einem Eindringling eine über den Browser erreichbare Möglichkeit verschaffen, Befehle abzusetzen und die Fernsteuerung einer kompromittierten Website aufrechtzuerhalten. Dabei handelt es sich um Wiz’ Einschätzung des wahrscheinlichen Angreiferverhaltens und nicht um den Nachweis, dass bei jedem beobachteten Versuch ein solches Werkzeug installiert wurde.
Reuters berichtete laut KrebsOnSecurity, dass Regierungswebsites in Europa und anderen Regionen nach Bekanntwerden der Schwachstellen nicht mehr erreichbar waren. Die Berichterstattung hat nicht belegt, dass die PHP-Fehler diese Ausfälle verursacht haben.
Wiz und OpenAI beschreiben KI-gestützte Exploit-Forschung
Wiz sagte, für den Nachweis der Ausnutzbarkeit sei eine „außergewöhnlich komplexe Kette von Schritten“ nötig gewesen. Das Unternehmen behauptet, moderne KI-Modelle hätten diese technische Hürde erheblich gesenkt.
OpenAI war Berichten zufolge an der Schwachstellenforschung und der Kontaktaufnahme beteiligt. Wiz erklärte, es habe vor der öffentlichen Offenlegung mit dem PHP-Team und OpenAI zusammengearbeitet, um den möglichen Umfang zu bewerten, Patches zu überprüfen und die Offenlegung vorzubereiten. Der behauptete Beitrag von KI-Modellen bleibt eine Aussage der beteiligten Organisationen und ist nicht unabhängig nachgewiesen.
OpenAI bezeichnete das Duo als „eines der wirkungsvollsten Sicherheitsprobleme der jüngeren Zeit“ und verwies sowohl auf deren Schweregrad als auch auf die weite Verbreitung von PHP. Wiz verglich die mögliche Behebungsherausforderung mit Log4Shell und erklärte, die PHP-Fehler hätten jahrzehntelang bestanden.
Was PHP-Administratoren tun sollten
Betreiber sollten die PHP-Version ermitteln, die auf internetzugänglichen und internen Servern läuft, einschließlich Installationen über Hosting-Panels, Container, Appliances und Paketquellen des Betriebssystems. Die verfügbaren korrigierten Versionen sind:
- PHP 8.5.12
- PHP 8.4.27
- PHP 8.3.36
- PHP 8.2.35
Ubuntu-Nutzer sollten die von der Distribution bereitgestellten aktualisierten PHP-Pakete einspielen. Organisationen, die Cloudflare nutzen, profitieren von den neu bereitgestellten WAF-Schutzmaßnahmen, sollten aber trotzdem die Laufzeitumgebung selbst patchen.
Da Ausnutzung gemeldet wurde, sollten exponierte PHP-Systeme priorisiert werden, statt sie bis zum nächsten routinemäßigen Wartungszyklus liegen zu lassen. Nach dem Update sollten Administratoren die Serveraktivität auf unerwartete, über den Webbrowser erreichbare Dateien, ungeklärte Befehlsausführungen, ungewöhnliche Kindprozesse und unautorisierte Änderungen prüfen, die auf eine Web-Shell oder eine frühere Kompromittierung hindeuten könnten.
