Kritische PHP-Sicherheitslücken ermöglichen die Ausführung von Code aus der Ferne – Notfall-Patches veröffentlicht

PHP veröffentlicht dringende Sicherheitsupdates, die zwei kritische Sicherheitslücken beheben, die eine nicht authentifizierte Remote-Codeausführung auf betroffenen Servern ermöglichen könnten.
Eine Übersetzung von 🇬🇧 Linuxiac.com

Das PHP-Entwicklungsteam hat dringende Sicherheitsupdates veröffentlicht, die zwei kritische Sicherheitslücken beheben, durch die sich nicht authentifizierte Angreifer beliebigen Code auf betroffenen Webservern ausführen könnten. Die Korrekturen sind in den Versionen PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35 verfügbar. Systemadministratoren wird dringend empfohlen, unverzüglich ein Upgrade durchzuführen.

Beide Sicherheitslücken, die unter den Kennungen CVE-2026-109618 und CVE-2026-109619 erfasst sind, weisen gemäß CVSS 4.0 einen Schweregrad von 9,2 auf. Sie betreffen PHP-Installationen, die Webanfragen verarbeiten, darunter solche, auf denen PHP-FPM, Apache mit mod_php, php-cgi, FrankenPHP und LiteSpeed laufen.

Laut dem offiziellen PHP-Sicherheitshinweis besteht das höchste Risiko bei der mod_php Konfiguration von Apache, bei der Forscher nachgewiesen haben, dass eine nicht authentifizierte Anfrage einen Angriff auslösen kann, noch bevor Anwendungscode ausgeführt wird.

Die erste Sicherheitslücke, CVE-2026-109618, betrifft eine Speicherbeschädigung bei der Behandlung von Speicherengpässen. Unter bestimmten Bedingungen kann PHP die Verarbeitung von Anfragen unterbrechen, während interne Strukturen nur teilweise initialisiert sind, was dazu führen kann, dass nachfolgende Bereinigungsvorgänge auf ungültige Daten zugreifen.

Die zweite Schwachstelle, CVE-2026-109619, betrifft veraltete globale Zustände. Speicher, der zu einer früheren Anfrage gehört, kann freigegeben werden, während Verweise darauf weiterhin zugänglich bleiben, sodass eine spätere Anfrage, die vom selben Worker-Prozess bearbeitet wird, mit ungültigem Speicher interagieren kann.

Wichtig ist, dass für die Ausnutzung dieser Schwachstellen weder eine anfällige PHP-Anwendung noch eine öffentlich zugängliche Datei-Upload-Funktion erforderlich ist. Die Probleme haben ihren Ursprung in der internen Anfrageverarbeitung von PHP, was sie für Administratoren, die ansonsten ordnungsgemäß gewartete Anwendungen hosten, besonders besorgniserregend macht.

Debian hat schnell gehandelt, um die Schwachstellen zu beheben. Das Projekt veröffentlichte DSA-6574-1 und bestätigte, dass Nutzer von Debian 13 „Trixie“ ein Upgrade auf PHP 8.4.27-1~deb13u1 durchführen können. Debian 12 „Bookworm“ hat PHP 8.2.35-1~deb12u1 in sein Sicherheits-Repository aufgenommen, wobei beide Korrekturen ausdrücklich im Changelog des Pakets aufgeführt sind.

Angesichts der Schwere der Sicherheitslücke hat Arch Linux eine offizielle Warnung herausgegeben, in der Administratoren, die öffentlich zugängliche PHP-Anwendungen betreiben, aufgefordert werden, je nach installiertem Paket unverzüglich ein Upgrade auf PHP 8.5.12 oder php-legacy 8.3.36 durchzuführen.

Der technische Lenkungsausschuss von AlmaLinux hat zudem die Veröffentlichung dieser Korrekturen noch vor Red Hat und CentOS Stream genehmigt. Die gepatchten Pakete werden voraussichtlich noch heute in den Test-Repositories verfügbar sein und nach Abschluss der Tests in die Produktions-Repositories übernommen.

Bei anderen Linux-Distributionen sollten Administratoren ihre Repositories auf aktualisierte PHP-Pakete überprüfen. Distributionsbetreuer und Anbieter von Langzeit-Support haben die Patches vorab erhalten, um Sicherheitsupdates vorzubereiten, einschließlich zurückportierter Korrekturen, sofern zutreffend.

PHP 8.1 und ältere Versionen werden vom Upstream-Projekt nicht mehr unterstützt, obwohl einige Distributionen möglicherweise weiterhin Sicherheitspatches bereitstellen. PHP 8.2 nähert sich unterdessen seinem Ende der Lebensdauer am 31. Dezember 2026.

Das PHP-Team betont zudem, dass es keine vollständigen Abhilfemaßnahmen für diese Sicherheitslücken gibt. Das Deaktivieren von session.upload_progress.enabled und die Begrenzung der Anforderungsgrößen können zwar das Risiko für bestimmte Angriffswege verringern, doch diese Maßnahmen decken nicht alle Ausnutzungsszenarien ab.

Administratoren sollten das entsprechende Sicherheitsupdate so schnell wie möglich installieren und betroffene PHP-Worker oder -Dienste neu starten, um sicherzustellen, dass der korrigierte Code ausgeführt wird.

Spendieren Sie Bobby einen ☕ Ko-fi

Ein Service von s3n🧩net