Die Entwickler der Programmiersprache PHP haben dringende Sicherheitsupdates veröffentlicht, um zwei hochkritische Schwachstellen mit der Bezeichnung PHP2Shell zu beheben. Diese ermöglichen es Angreifern, ohne vorherige Authentifizierung bösartigen Programmcode aus der Ferne auszuführen (Remote Code Execution), während gleichzeitig tatsächliche Angriffe registriert wurden, die versuchen, diese Schwachstellen im Internet auszunutzen.
Details zu den Schwachstellen und Risikobereichen in der PHP-Engine
Die beiden Schwachstellen wurden unter den Kennungen CVE-2026-109618, die auf eine Speicherbeschädigung bei Speichermangel (Out-of-Memory Corruption) zurückzuführen ist, und CVE-2026-109619, die einen veralteten und nicht synchronisierten globalen Zustand (Stale Global State) betrifft, registriert. Beide erhielten einen Schweregrad von 9,2 auf der CVSS-Skala. Die PHP Foundation bestätigte, dass die Schwachstellen in sensiblen Mechanismen liegen, die fast jede Anfrage innerhalb der Engine durchläuft: die Speicherverwaltung und die Fehlerbehandlung. Dies macht ihre Auswirkungen weitreichend und ihre Behebung äußerst komplex.
Die Stiftung erklärte, dass jeder PHP-Server, der Webanfragen verarbeitet, gefährdet ist. Dies umfasst Apache-Server via mod_php, PHP-FPM-Umgebungen, php-cgi, FrankenPHP sowie LiteSpeed. Das Problem erstreckt sich zudem auf das Auslesen des Arbeitsspeichers von Prozessen, wodurch API-Schlüssel, Passwörter und zwischengespeicherte sensible Daten offengelegt werden könnten.
Frühzeitige Leaks und Angriffe vor dem Patch
Die koordinierte Bekanntgabe der Schwachstellen war für den 22. Oktober geplant. Ein unbeabsichtigtes Durchsickern von Details und Proof-of-Concept-Codes (PoC) im Internet veranlasste das Team jedoch dazu, den Termin für die Veröffentlichung der Korrekturen vorzuziehen. In den Stunden vor dem allgemeinen Update registrierten Sicherheitsbehörden, darunter WatchTowr, Patchstack, Cloudflare und Hadrian, weitreichende Ausnutzungsversuche, die hauptsächlich auf den Pfad zur Verfolgung von Datei-Uploads (session upload-progress) in PHP abzielten.
Die Updates mit den Lösungen umfassen die Versionen 8.5.12, 8.4.27, 8.3.36 und 8.2.35 sowie begrenzte Backport-Patches für ältere Versionen wie PHP 7.4, 8.0 und 8.1, da die Wurzel des Fehlers historisch bis zu Versionen wie PHP 5.4 zurückreicht.
Die Rolle von KI-Modellen bei der Entdeckung
Das Cloud-Sicherheitsunternehmen Wiz entdeckte die Schwachstellen in Zusammenarbeit mit OpenAI und den Calif Labs im August. Obwohl der ursprüngliche Fehler im Zusammenhang mit dem Speichermangel bereits 2020 erstmals beobachtet und 2024 wiederentdeckt wurde, wurde er damals nicht als unmittelbare Gefahr eingestuft, da seine Ausnutzbarkeit nicht nachgewiesen war. Der Einsatz fortschrittlicher KI-Modelle ermöglichte es den Forschern jedoch, äußerst komplexe Exploit-Ketten zu erstellen, die die Speicherschwäche in eine Remote-Befehlsausführung verwandelten.
Warum ist diese Entwicklung wichtig und welche Auswirkungen hat sie?
PHP betreibt fast 70 % der Websites weltweit und bildet die Grundlage für bekannte Content-Management-Plattformen wie WordPress, Drupal und MediaWiki (das Wikipedia betreibt). Ein Fehler in der Kern-Engine der Sprache bedeutet, dass Millionen von Websites anfällig für Angriffe sind, selbst wenn die darauf installierten Anwendungen vollständig gesichert und fehlerfrei sind. Dies zwingt Systemadministratoren und Betriebsteams dazu, die Updates sofort anzuwenden und die Serverprotokolle zu überprüfen, um sicherzustellen, dass sie nicht bereits präventiv kompromittiert wurden.