Kritische PHP-Sicherheitslücken führen nach gemeldetem Leak zu einem dringenden Sicherheitsupdate

Zwei kritische PHP-Sicherheitslücken haben das PHP-Sicherheitsteam dazu veranlasst, dringende Sicherheitsupdates für den 21. Oktober anzukündigen. Die Ankündigung folgt auf Berichte, wonach Informationen über die Schwachstellen vor ihrer geplanten Offenlegung verbreitet wurden.

In seiner Sicherheitsmitteilung vom 20. Oktober setzte das Team die Veröffentlichung der Updates für den 21. Oktober um 14:00 Uhr UTC an. Beide Schwachstellen erhielten einen Schweregrad von 9,2 nach CVSS v4.0. Gleichzeitig forderte das Team Administratoren auf, sich auf eine zeitnahe Installation vorzubereiten.

PHP-Team könnte Korrekturen früher als geplant veröffentlichen

Die Entwickler erklärten, dass sie die Updates früher veröffentlichen könnten, falls technische Details öffentlich bekannt werden oder Hinweise auf eine aktive Ausnutzung auftauchen.

Die ursprüngliche Sicherheitsmitteilung nannte jedoch weder die betroffenen PHP-Versionen noch die Voraussetzungen für einen Angriff oder die Versionen, die entsprechende Korrekturen enthalten werden. Das Team plant, diese Informationen zusammen mit den Sicherheitsupdates zu veröffentlichen.

PHP kommt auf zahlreichen Websites und in vielen Anwendungen zum Einsatz, darunter Onlineshops, Content-Management-Systeme und individuell entwickelte Dienste. Daher hat die Ankündigung Auswirkungen auf Administratoren in vielen verschiedenen Hosting-Umgebungen.

Forscher beschreiben Risiken durch Remote-Code-Ausführung

Das Sicherheitsunternehmen watchTowr identifizierte die gemeldeten Schwachstellen als CVE-2026-109618 und CVE-2026-109619. Das Unternehmen beschrieb beide als Sicherheitslücken, die eine Remote-Code-Ausführung ermöglichen.

Die Forscher erklärten außerdem, dass es ihnen ihrer Einschätzung nach gelungen sei, CVE-2026-109618 zu reproduzieren. Sie hielten technische Informationen jedoch bis zur Veröffentlichung der Patches zurück.

Laut watchTowr gelangten Informationen über die Schwachstellen an die Öffentlichkeit, während diese noch einer Sperrfrist für die koordinierte Offenlegung unterlagen. Das Unternehmen erklärte, dass der ursprüngliche Zeitplan eine Veröffentlichung am 22. Oktober vorgesehen hatte.

Unterdessen verbreitete sich ein später gelöschter Forenbeitrag, der übereinstimmende Schwachstellenkennungen sowie Behauptungen über deren Schweregrad und Umfang enthielt.

Diese Berichte liefern zusätzlichen Kontext, ersetzen jedoch nicht die offizielle Sicherheitsmitteilung des PHP-Teams.

Angaben zu Schweregrad und betroffenen Versionen widersprechen sich

Die offizielle Ankündigung und die Berichte Dritter unterscheiden sich in mehreren wichtigen Punkten.

PHP bewertete jede der beiden Schwachstellen mit 9,2 Punkten nach CVSS v4.0. Im Gegensatz dazu nannten watchTowr und der gelöschte Forenbeitrag Bewertungen von 10,0 Punkten.

Die Forscher deuteten außerdem an, dass zahlreiche ältere und neuere PHP-Versionen betroffen sein könnten. Allerdings hatte das PHP-Team in seiner ersten Ankündigung noch keine Liste der betroffenen Versionen bestätigt.

Administratoren sollten daher die offiziellen Versionsinformationen nutzen, um festzustellen, ob ihre Installationen Updates benötigen. Die kritischen PHP-Sicherheitslücken erfordern Aufmerksamkeit, doch ihr genauer Umfang war zum Zeitpunkt der Sicherheitsmitteilung noch unklar.

Forscher haben keine aktive Ausnutzung beobachtet

Trotz des gemeldeten Informationslecks erklärte watchTowr, dass das Unternehmen bislang keine Angreifer beobachtet habe, die eine der beiden Schwachstellen bei tatsächlichen Angriffen ausnutzten.

Diese Aussage spiegelt lediglich die Beobachtungsmöglichkeiten des Unternehmens wider und beweist nicht, dass es nirgendwo zu einer Ausnutzung gekommen ist. Ebenso bedeutet die gemeldete Offenlegung von Informationen nicht, dass funktionsfähiger Exploit-Code öffentlich verfügbar ist.

Die Möglichkeit des PHP-Teams, die Patches vorzeitig zu veröffentlichen, berücksichtigt das Risiko, dass sich die Situation vor dem geplanten Veröffentlichungstermin ändern könnte.

Administratoren sollen sich auf Updates vorbereiten

Die unmittelbare Botschaft des PHP-Sicherheitsteams lautet, dass Administratoren sich darauf vorbereiten sollten, die Korrekturen zu installieren, sobald sie verfügbar sind.

Nach der Veröffentlichung können Administratoren prüfen, welche Versionen nachweislich betroffen sind, die technische Sicherheitsmitteilung durchsehen und die entsprechenden Updates installieren.

Bis dahin bestätigt die Ankündigung vom 20. Oktober lediglich den geplanten Veröffentlichungszeitpunkt und die offiziellen Schweregradbewertungen. Sie enthält noch nicht genügend Informationen, um das konkrete Risiko einer bestimmten PHP-Installation einzuschätzen.