PHP schließt zwei kritische Lücken mit CVSS 9.2 per Notfall-Update

PHP schließt zwei kritische Lücken mit CVSS 9.2 per Notfall-Update

Das PHP-Projekt hat am 21. Oktober 2026 Sicherheitsupdates für zwei kritische Remote-Code-Execution-Lücken veröffentlicht. CVE-2026-109618 betrifft einen Out-of-Memory-Zustand bei teilinitialisierten Request-Daten. Ausgelöst werden kann er unter anderem über Multipart-Parsing.

CVE-2026-109619 beruht auf veraltetem globalem Zustand in PHP-Workern. Beide Lücken laufen unter dem Namen „php2shell“. Nach CVSS v4.0 liegt die Bewertung für beide bei 9.2.

Gepatcht sind die Versionen 8.5.12, 8.4.27 und 8.3.36. PHP nennt keine vollständigen Mitigationen und bezeichnet das Update als einzig sichere Wahl. Betroffen ist jede PHP-Installation, die Webanfragen bedient. Dazu zählen PHP-FPM, Apache mod_php, php-cgi, FrankenPHP und LiteSpeed.

Am größten ist das Risiko bei Apache mod_php. Dort wurde ein unauthentifizierter Exploit vor der Ausführung von Anwendungscode demonstriert. Eine belastbare Zahl verwundbarer Systeme gibt es nicht. Die von Fortune genannten „70 % des Internets“ beschreiben allenfalls die Gesamtverbreitung von PHP.

NSA warnt, Behörden in mehreren Ländern schalten Portale ab

Die NSA warnt, Angreifer könnten die Lücken wahrscheinlich waffenfähig machen. Ziel wären Webserver, Daten oder der Sprung in Unternehmensnetze. In Großbritannien gingen über 30 Regierungsdienste offline. Laut Reuters wurden außerdem Seiten in den Niederlanden, Deutschland, Belgien und Frankreich vorsorglich abgeschaltet.

Der Offenlegungsprozess lief nicht wie geplant. Details erschienen Tage vor dem vorgesehenen Termin im Netz. OpenAI, das sich als Mitentdecker nennt, bezeichnet den Fehler als „eine der folgenreichsten Schwachstellen der jüngeren Zeit“. Diese Einschätzung stammt von einer Partei mit eigenem Interesse. Unabhängig belegt ist sie nicht.

Ausnutzung: Scans und frühe Angriffe, bisher keine bestätigte Welle von Kompromittierungen

Zur Ausnutzung gibt es widersprüchliche Angaben. Die US-Behörde CISA erklärte, zum Zeitpunkt der Veröffentlichung keine Ausnutzung beobachtet zu haben. Die BBC berichtete von keinen erfolgreichen Exploits.

Cloudflare sah nach Angaben von CTO Dane Knecht „frühe Angriffe“. Fastly-Produktchefin Kelly Shortridge sprach von klaren Hinweisen auf aktives Scannen und Reconnaissance gegen PHP-Anwendungen.

Ein Startup-Inhaber berichtet von Hacks. Ein Reddit-Nutzer will Exploit-Requests schon vor dem Fix gesehen haben. Beide Angaben sind unverifiziert. Die Unterschiede dürften auf verschiedene Zeitpunkte der Berichte, auf unterschiedliche Definitionen von „Angriff“ (Probing oder erfolgreiche Kompromittierung) und auf verschiedene Datenquellen zurückgehen. Zahlen zu erfolgreichen Angriffen liegen nicht vor.

Menschliche Forscher fanden die Lücken, KI half bei Analyse und Ausnutzung

Die BBC schrieb verkürzt, es habe „KI gebraucht“, um die Fehler aufzudecken. Andere Berichte relativieren das. Demnach fanden menschliche Forscher der OpenAI/Wiz-Initiative „Hack the Planet“ die Lücken. KI setzten sie lediglich zur Analyse und zur Ausnutzung ein. OpenAI nennt sich neben Calif und Wiz als Mitentdecker.

Einen Beleg dafür, dass KI das Auffinden von Lücken generell beschleunigt, enthält das Material nicht. Die Darstellung als Sieg defensiver KI ist eine Herstellersicht. Vergleichbare Daten fehlen. Eine Primärquelle zur genauen Rolle der KI liegt ebenfalls nicht vor.

Dritte Variante: CVE-2026-115560 betrifft nur ungewöhnliche Konfigurationen

Eine weitere RCE-Variante, CVE-2026-115560, stuft PHP als unwahrscheinlich ein. Sie entsteht nur, wenn session.serialize_handler zur Laufzeit per ini_set() auf php gesetzt wird und Session-Upload-Progress aktiv ist.

Als Workaround empfiehlt das Projekt session.upload_progress.enabled=0. Das gilt bis zum nächsten regulären Release, mit dem auch das vollständige Advisory erscheint.

Für die Praxis gilt: sofort auf 8.5.12, 8.4.27 oder 8.3.36 aktualisieren und die Konfiguration prüfen.