PHP schließt zwei kritische Sicherheitslücken und räumt strukturelle Versäumnisse ein

Das PHP-Projekt hat am 21. Oktober 2026 zwei kritische Sicherheitslücken geschlossen. Unter bestimmten Bedingungen ermöglichen sie Angreifern ohne vorherige Anmeldung, fremden Code auf Servern auszuführen. Die PHP Foundation fordert zu sofortigen Aktualisierungen auf und beschreibt zugleich erhebliche Versäumnisse bei der Behebung eines seit 2024 bekannten Problems.

Die Korrekturen stecken in PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35. Nach dem Bericht der PHP Foundation zur Sicherheitsveröffentlichung betreffen die Schwachstellen die Speicherverwaltung und die Fehlerbehandlung. Das Bewertungssystem CVSS weist einen Schweregrad von 9,2 auf einer Skala bis 10 aus.

Zwei Fehler in zentralen PHP-Funktionen

Die erste Schwachstelle trägt die Kennung CVE-2026-109618. CVE-Kennungen dienen der standardisierten Identifizierung bekannter Sicherheitslücken. Erreicht eine Anfrage die in PHP festgelegte Speichergrenze zu einem ungünstigen Zeitpunkt, können unvollständig initialisierte interne Daten zurückbleiben. Werden diese später als gültig behandelt, kann der Speicher beschädigt werden.

Beim Webserver Apache mit dem PHP-Einbindungsmodul mod_php wurde die Ausführung fremden Codes mit Standardeinstellungen demonstriert. Der Angriff kann dort bereits greifen, bevor Anwendungscode ausgeführt wird. Auch bei PHP-FPM, einer Betriebsvariante mit gesonderten Prozessen zur Bearbeitung von PHP-Anfragen, wurde eine Codeausführung über Anwendungscode bestätigt.

Bei CVE-2026-109619 kann ein schwerwiegender Fehler dazu führen, dass interne Zustandsdaten weiterhin auf bereits freigegebenen Speicher einer früheren Anfrage verweisen. Eine spätere Anfrage im selben Arbeitsprozess kann diesen Speicher erneut verwenden. Der meldende Forscher demonstrierte die Ausführung fremden Codes gegen eine tatsächlich eingesetzte Anwendung unter Apache mit mod_php.

Bekanntes Problem blieb zu lange ungelöst

Erste Hinweise auf das Speichergrenzenproblem hatte ein PHP-Kernentwickler bereits 2024 entdeckt, als er einen Befund aus einer externen Sicherheitsprüfung durch die Sicherheitsfirma Quarkslab bearbeitete. Damals gab es noch keinen konkreten nachgewiesenen Angriffsweg. Verschiedene Lösungsansätze drohten zudem die Kompatibilität zu beeinträchtigen, neue Möglichkeiten für Überlastungsangriffe zu schaffen, die Dienste lahmlegen, oder umfangreiche Änderungen an Erweiterungen zu erfordern.

Das auf Einvernehmen ausgerichtete Entscheidungsverfahren und der Mangel an verfügbaren Fachleuten verzögerten die Arbeit über Monate. Die PHP Foundation bewertet dies als strukturelles Versagen. Künftig sollen Mehrheitsentscheidungen und eine frühere Einbindung der Führung helfen, solche Blockaden aufzulösen.

Am 11. August 2026 meldete die Sicherheitsfirma Calif einen konkreten Angriff mit derselben Fehlerursache. OpenAI berichtete unabhängig davon am selben Tag über diese Ursache. Weitere Angriffswege folgten von der Sicherheitsfirma Wiz und OpenAI. Ab dem 11. August hatte die Behebung für das Sicherheitspersonal der Foundation höchste Priorität.

KI-Werkzeuge prüfen Meldungen und Angriffsnachweise

Zur Sicherheitsanalyse setzte die Foundation unter anderem das KI-Werkzeug Claude Mythos von Anthropic ein. Inzwischen nutzt sie auch OpenAIs Daybreak Red zur Überprüfung von Meldungen und Angriffsnachweisen, die die Ausnutzbarkeit einer Lücke demonstrieren. Seit dem 1. Juli veröffentlichte das Sicherheitsteam 15 CVE-Einträge und bearbeitete mehr als 100 Meldungen, die ungültig, doppelt oder nicht reproduzierbar waren. Jede Entscheidung und jede Korrektur bleiben nach Angaben der Foundation in menschlicher Verantwortung.

Vorzeitig verbreitete Kennungen änderten den Zeitplan

Am 20. Oktober gegen 15:00 UTC, der koordinierten Weltzeit, kursierten die beiden CVE-Kennungen vorzeitig in Foren und sozialen Medien, zusammen mit einer falschen Veröffentlichungszeit und dem falschen CVSS-Wert 10,0. Technische Einzelheiten waren zunächst nicht enthalten. Daraufhin zog PHP die Vorankündigung auf 19:30 UTC vor und verlegte die Veröffentlichung vom 22. auf den 21. Oktober, jeweils 14:00 UTC. Eine sofortige Freigabe hätte vielen Nutzern keinen einfachen Aktualisierungsweg geboten, weil Distributoren, also Anbieter, die PHP an ihre Kunden weitergeben, die Korrekturen noch vorbereiteten.

Erst danach, gegen 20:00 UTC, veröffentlichte Calif irrtümlich ein Demonstrationsvideo. Es zeigte erfolgreiche Angriffe und zusätzliche begrenzte Details. Kopien des später gelöschten Videos verbreiteten sich weiter und beschleunigten die Entwicklung von Angriffsnachweisen.

Der Distributor Chainguard, ein Anbieter fertiger Softwareabbilder, hatte wie andere Distributoren die Korrektur vorab erhalten und veröffentlichte am 21. Oktober bereits um 07:41 UTC fertige Abbilder damit. Nach Darstellung der Foundation verletzte dies die vereinbarte Sperrfrist und erlaubte Angreifern, die Korrektur vor der koordinierten Veröffentlichung zu untersuchen. Zum Zeitpunkt der Veröffentlichung identifizierte das Sicherheitsteam allerdings keine funktionsfähigen Angriffswerkzeuge.

Die PHP Foundation wirbt deshalb für eine dauerhaft bessere Finanzierung der Sicherheitsarbeit, insbesondere für mehr erfahrene Entwickler mit umfassender Kenntnis des PHP-Codes.