Sicherheitsbehörden drängten Websitebetreiber am 22. Oktober zur Absicherung ihrer PHP-Systeme und setzten damit die weltweite Reaktion auf zwei kritische Schwachstellen fort. Neuseelands National Cyber Security Centre forderte sofortige Updates und die Überwachung möglicher Angriffe. Die Warnung folgte auf Notfallkorrekturen vom 21. Oktober für Lücken, über die Angreifer ohne Anmeldung Code auf einem Server ausführen können.
Laut PHP-Projekt sind alle Installationen gefährdet, die Webanfragen verarbeiten, darunter PHP-FPM und Apache mit mod_php. Das höchste Risiko sieht das Projekt bei mod_php: Forscher demonstrierten dort einen Angriff vor der Ausführung von Anwendungscode. PHP erzeugt Webseiten und erledigt Aufgaben auf dem Server; die Gefährdung hängt daher von Software und Konfiguration des Dienstes ab.
Das Projekt veröffentlichte PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35 gegen die Lücken CVE-2026-109618 und CVE-2026-109619. Sein Hinweis beschreibt Probleme bei der Speicherverwaltung und interne Zustände, die zwischen Anfragen bestehen bleiben. Betreiber mit Paketen von Betriebssystemdistributoren oder Anbietern langfristiger Unterstützung sollen dort nach korrigierten Versionen fragen, erklärte das Projekt.
Nach Angaben der PHP Foundation zeigten sich erste Anzeichen eines Problems bei Arbeiten nach einer Sicherheitsprüfung 2024. Spätere Meldungen von Calif, OpenAI und Wiz belegten das volle Ausmaß; die Behebung erhielt im August höchste Sicherheitspriorität. Die Stiftung räumte ein, dass knappe Ressourcen und die schwierige Wahl einer kompatiblen Korrektur frühere Arbeiten verzögert hatten. Sie ändert deshalb ihre Entscheidungsverfahren.
Das britische National Cyber Security Centre forderte Organisationen auf, PHP in ihrer Infrastruktur zu erfassen und öffentlich erreichbare Systeme zu priorisieren. Wer weder Updates noch vorläufige Schutzmaßnahmen rasch umsetzen kann, soll laut Leitlinie erwägen, Systeme offline zu nehmen. Solche Vorsichtsmaßnahmen verringern die Gefährdung; ein Ausfall allein belegt keinen erfolgreichen Angriff auf eine Website.
Neuseelands Behörde warnte, dass Updates eine bestehende Kompromittierung nicht rückgängig machen. Die britische Leitlinie verlangt ebenfalls Prüfungen auf Einbruchsspuren und Hintertüren, wenn sofortige Updates oder Abschaltungen unmöglich sind. Beide Hinweise sehen eine laufende Überwachung vor. Die britische Behörde fordert zudem, Updates für Produkte und Dienste anderer Anbieter zu verfolgen, die PHP enthalten.
Kommentare