Zwei kritische PHP-Schwachstellen mit hohem Sicherheitsrisiko
Wie der internationalen Fachpresse bereits zu entnehmen war, wurden gestern, am 21. Oktober 2026, zwei kritische Sicherheitslücken in PHP veröffentlicht. Unter bestimmten Voraussetzungen ermöglichen sie Angreifern, ohne Anmeldung eigenen Programmcode auf einem betroffenen Server auszuführen. Beide Schwachstellen sind mit einem Schweregrad von 9,2 von 10 Punkten nach CVSS v4.0 als kritisch eingestuft.
Die Sicherheitslücken werden unter den Kennungen CVE-2026-109618 und CVE-2026-109619 geführt. Sie betreffen die interne Speicher- und Anfrageverarbeitung von PHP. Nach Angaben des PHP-Projekts müssen grundsätzlich alle Installationen, die Webanfragen verarbeiten, als potenziell gefährdet betrachtet werden – darunter auch die weitverbreitete Betriebsart PHP-FPM. Die konkrete Ausnutzbarkeit hängt von der jeweiligen Serverkonfiguration und Anwendung ab. Besonders hoch bewertet das PHP-Sicherheitsteam das Risiko beim Einsatz als Apache-Modul („mod_php“), das bei unseren Kundensystemen jedoch generell nicht zum Einsatz kommt: Hier wurde ein Angriff demonstriert, der bereits vor der Ausführung des eigentlichen Anwendungscodes ansetzt.
Das PHP-Projekt hat deshalb zur sofortigen Installation der Sicherheitsupdates aufgerufen. Nur ein Update behebt die Schwachstellen vollständig.
Eigene Container direkt aus dem gepatchten Quellcode
Unmittelbar nach Veröffentlichung der korrigierten PHP-Quellen haben wir gestern eigene PHP-Container-Images direkt aus dem C-Quellcode erstellt. Dadurch standen uns die abgesicherten Versionen bereits zur Verfügung, bevor die offiziellen PHP-Container-Images erhältlich waren.
Schon wenige Minuten nach Veröffentlichung der Sicherheitsupdates haben wir mit der Verteilung auf unsere Kundensysteme begonnen. Bereits am Nachmittag waren sämtliche dafür infrage kommenden Systeme auf die korrigierten Patch-Versionen ihrer jeweiligen PHP-Versionsreihe aktualisiert:
- PHP 8.5.12
- PHP 8.4.27
- PHP 8.3.36
- PHP 8.2.35
Alle vier Releases enthalten die Korrekturen für beide Sicherheitslücken. Durch den direkten Build aus den veröffentlichten Quellen konnten wir ohne Wartezeit auf die Bereitstellung fertiger Container-Images reagieren und das Zeitfenster für mögliche Angriffe deutlich verkürzen.
Kurz erklärt: Wie funktionieren die beiden Angriffe?
CVE-2026-109618 – Fehler bei Speichermangel: Präparierte Webanfragen können PHP dazu bringen, seinen verfügbaren Speicher auszuschöpfen. Beim anschließenden Abbruch und Aufräumen verarbeitet PHP unter Umständen interne Daten, die noch nicht vollständig vorbereitet waren. Angreifer können diesen Fehler unter bestimmten Voraussetzungen zur Ausführung eigenen Codes ausnutzen.
CVE-2026-109619 – Verweise auf bereits freigegebenen Speicher: Nach einer fehlerhaft beendeten Anfrage können interne Verweise auf Daten zurückbleiben, deren Speicher bereits freigegeben wurde. Bearbeitet derselbe PHP-Prozess anschließend eine weitere Anfrage, kann er auf diese ungültigen Verweise zugreifen. Auch das lässt sich unter geeigneten Bedingungen zur Ausführung fremden Codes missbrauchen.