Zwei kritische PHP-Schwachstellen haben eine Warnung vor sofortigen Patches ausgelöst, nachdem Sicherheitsforscher erste Angriffsaktivitäten gemeldet haben. Administratoren müssen exponierte Systeme identifizieren, bevor die geplanten Updates verfügbar sind.
Das PHP-Sicherheitsteam hat die Veröffentlichung von Patches für den 21. Oktober 2026 um 14:00 UTC (10 Uhr Eastern Time) angesetzt. Beide Schwachstellen haben einen CVSS-v4.0-Wert von 9,2. Forscher warnen vor möglicher Remotecodeausführung (RCE), obwohl PHP weder die Angriffsmethoden noch die betroffenen Versionen bestätigt hat.
Organisationen, die PHP-basierte Websites, E-Commerce-Plattformen und eigene Anwendungen betreiben, müssen potenziell angreifbare Laufzeitumgebungen identifizieren und die Patch-Verteilung koordinieren. Nicht mehr unterstützte Installationen stellen zusätzliche Herausforderungen dar, da sie keine regulären Sicherheitsupdates vom Upstream-Projekt erhalten.
Zwei kritische PHP-Schwachstellen und erste Angriffe
In seiner am 20. Oktober veröffentlichten Sicherheitsmitteilung forderte PHP Administratoren auf, sich auf sofortige Upgrades vorzubereiten. Das Team erklärte außerdem, dass die Updates früher erscheinen könnten, falls technische Details öffentlich würden oder Hinweise auf eine aktive Ausnutzung auftauchten.
CERT-EU identifizierte die Schwachstellen als CVE-2026-109618 und CVE-2026-109619. Forscher vermuten, dass PHP-Versionen bis zurück zu PHP 5 betroffen sein könnten, doch der offizielle Umfang ist weiterhin unbestätigt. Eine erfolgreiche Ausnutzung könnte nicht authentifizierten Angreifern ermöglichen, Code auf verwundbaren Servern auszuführen.
Das Sicherheitsunternehmen watchTowr teilte BleepingComputer mit, man glaube, CVE-2026-109618 reproduziert zu haben. Tenable berichtete anschließend , dass Cloudflare erste Angriffe beobachte, wobei das Ausmaß erfolgreicher Kompromittierungen weiterhin unbekannt sei.
Die gemeldeten Schwachstellen betreffen PHP selbst und nicht das Plugin einer Drittanbieteranwendung. Eine kürzlich entdeckte Bricksforge-WordPress-Schwachstelle setzte ebenfalls PHP-basierte Websites der Gefahr einer Codeausführung aus. Die alleinige Aktualisierung von Anwendungskomponenten würde eine betroffene PHP-Installation jedoch nicht zwangsläufig reparieren.
PHP-Systeme auf Notfall-Updates vorbereiten
Administratoren sollten sich darauf vorbereiten, verifizierte PHP-Sicherheitspatches zu installieren, sobald diese verfügbar sind. Die Richtlinie für unterstützte Versionen von PHP umfasst die Zweige 8.2 bis 8.5. Ältere Versionen werden vom Upstream-Projekt nicht mehr unterstützt, wobei Anbieter möglicherweise zurückportierte Fixes bereitstellen.
Sicherheitsteams sollten sechs Maßnahmen priorisieren:
- Exponierte PHP-Systeme identifizieren. Internetseitig erreichbare Anwendungen, Server, Container und Hosting-Umgebungen inventarisieren. Produktionslaufzeitumgebungen überprüfen, statt sich ausschließlich auf Versionsabfragen über die Kommandozeile zu verlassen.
- Updates vorbereiten und überprüfen. Patching koordinieren, Backups prüfen, die Kompatibilität testen und betroffene Container neu erstellen. Die jüngsten NGINX-Sicherheitsupdates unterstreichen, wie wichtig es ist, installierte Versionen und Konfigurationen zu überprüfen.
- Zugriff und Berechtigungen einschränken. Verwundbare Workloads isolieren, Berechtigungen nach dem Prinzip der geringsten Privilegien durchsetzen und unnötige externe Verbindungen begrenzen.
- Vorübergehende Schutzmaßnahmen verstärken. Schutzmaßnahmen von WAFs und Hosting-Anbietern überprüfen. Das Notfall-WAF-Update vom 21. Oktober von Cloudflare fügte vier verwaltete Regeln für anomale Anfragen hinzu: zwei Blockierungs- und zwei Protokollierungsregeln. Cloudflare nannte in dieser Mitteilung die PHP-CVEs nicht, und diese Kontrollen können Patching nicht ersetzen. Die jüngste SiteGuard-WAF-Schwachstelle unterstreicht ebenfalls, wie wichtig die Pflege der Abwehrinfrastruktur ist.
- Auf eine mögliche Kompromittierung achten. Verdächtige HTTP-Anfragen, unerwartete Serverprozesse und nicht autorisierte Dateiänderungen untersuchen. Beweise sichern und potenziell offengelegte Zugangsdaten bewerten.
- Pläne für die Reaktion auf Sicherheitsvorfälle testen. Eindämmungsverfahren, Eskalationskontakte und die Wiederherstellung aus Backups überprüfen. Übungen zur Serverisolierung und Wiederherstellung durchführen.
Kunden von Managed-Hosting-Angeboten sollten die Patch-Zeitpläne mit ihren Anbietern abstimmen. Der Paket-Hinweis von CloudLinux weist darauf hin, dass aktualisierte Hosting-Pakete von PHP-Fixes des Upstream-Projekts abhängen.
Bei nicht unterstützten PHP-Installationen sind Backports vom Anbieter, eine Migration oder eine weitere Einschränkung der Angriffsfläche erforderlich. Verifizierte Updates der Laufzeitumgebung bleiben die wichtigste Abhilfemaßnahme.
Mehr dazu: Die jüngsten Ivanti-VPN-Zero-Day-Angriffe zeigen, warum Patching durch Untersuchungen auf möglichen Diebstahl von Zugangsdaten und unbefugten Zugriff ergänzt werden muss.