Das Sicherheitsteam der Programmiersprache PHP hat dringende Sicherheitsupdates veröffentlicht, um zwei kritische Remotecodeausführungs-Schwachstellen (RCE) zu beheben, die unter dem Namen PHP2Shell geführt werden. Die Schwachstellen tragen die Kennungen CVE-2026-109618 und CVE-2026-109619 und ermöglichen es unautorisierten Angreifern, die Kontrolle über betroffene Server zu erlangen.
Details und Auswirkungen der Schwachstellen
Diese Schwachstellen wurden durch gemeinsame Anstrengungen von Forschern der Unternehmen Calif, OpenAI und Wiz entdeckt. Die Ernsthaftigkeit dieser Schwachstellen liegt darin begründet, dass sie alle PHP-Laufzeitumgebungen betreffen, die Webanfragen verarbeiten, einschließlich PHP-FPM, Apache mit mod_php, php-cgi, FrankenPHP und LiteSpeed.
Das PHP-Sicherheitsteam erklärte, dass das größte Risiko in den mod_php-Einstellungen liegt, da ein unautorisierter Angreifer hierbei einen Angriff starten kann, noch bevor irgendein anwendungsspezifischer Code ausgeführt wird. Die beiden Schwachstellen gehen auf ein grundlegendes Problem zurück, bei dem der Speicher nach einer abnormalen Beendigung einer Anfrage in einem beschädigten Zustand hinterlassen wird, was den Weg für eine Ausnutzung zur Remotecodeausführung ebnet.
Erforderliche Maßnahmen für Administratoren
Systemadministratoren müssen ihre Server umgehend auf die folgenden sicheren Versionen aktualisieren: 8.5.12, 8.4.27, 8.3.36 oder 8.2.35. Für ältere Versionen (7.4, 8.0, 8.1), die keine offiziellen Updates mehr erhalten, hat das PHP-Team Backports bereitgestellt, um Systeme abzusichern, die weiterhin auf diese Versionen angewiesen sind.
Warum diese Nachricht wichtig ist
PHP bildet das Rückgrat von etwa 75 % bis 80 % aller Websites weltweit, einschließlich populärer Plattformen wie WordPress und Drupal. Angesichts von mehr als 5 Millionen PHP-Servern, die mit dem Internet verbunden und anfällig sind, stellt die Ausnutzung dieser Schwachstellen eine Bedrohung großen Ausmaßes dar. Das Unternehmen Cloudflare hat bestätigt, dass bereits frühe Ausnutzungsversuche dieser Schwachstellen beobachtet wurden, was das Nationale Zentrum für Cybersicherheit des Vereinigten Königreichs (NCSC) dazu veranlasste, eine dringende Warnung an Organisationen auszusprechen, sofort Updates durchzuführen oder die Systeme vom Netzwerk zu trennen.
Vorübergechende Mitigationsmaßnahmen
Falls ein sofortiges Update nicht möglich ist, hat das PHP-Sicherheitsteam einige temporäre Gegenmaßnahmen zur Verringerung des Risikos einer Ausnutzung bereitgestellt, darunter:
- Für CVE-2026-109618: Setzen von memory_limit auf -1 und Reduzierung von post_max_size auf 8 Megabyte (oder 32 Megabyte, falls Dateiuploads erforderlich sind).
- Für CVE-2026-109619: Setzen von session.upload_progress.enabled auf 0 und in Version 8.5 Setzen von fatal_error_backtraces auf 0 bei gleichzeitigem Neustart der Worker.
Die Entwickler betonen, dass diese Maßnahmen keinen vollständigen Schutz bieten und das offizielle Update der einzige Weg ist, die Sicherheit des Servers dauerhaft zu gewährleisten.