Kein Feierabend für Admins:
Heute kommen kritische PHP-Patches

Das PHP-Entwicklerteam bereitet kurzfristige Sicherheitsupdates für zwei kritische Schwachstellen in der weitverbreiteten Programmier­sprache vor. Administratoren sollten heute von einem rechtzeitigen Feierabend Abstand nehmen.

Zwei Schwachstellen werden behoben

Die Aktualisierungen sollen am heutigen Mittwoch um 16 Uhr deutscher Zeit erscheinen. Sicherheitsforscher berichten unterdessen, dass Informationen über die bislang unter Verschluss gehaltenen Lücken vorzeitig an die Öffentlichkeit gelangt sind. Administratoren sollten deshalb darauf vorbereitet sein, die Patches unmittelbar nach ihrer Veröffentlichung einzuspielen.

PHP bildet die technische Grundlage zahlreicher Websites und Webanwendungen. Dazu zählen Content-Management-Systeme, Onlineshops und individuell entwickelte Webdienste. Schwachstellen in der Programmiersprache können daher weitreichende Folgen haben, insbesondere wenn Angreifer darüber aus der Ferne Zugriff auf betroffene Systeme erlangen.


Die beiden Schwachstellen, die mit den neuesten Patches geschlossen werden, wurden nach dem Bewertungssystem CVSS in Version 4.0 mit jeweils 9,2 von maximal zehn Punkten eingestuft. Die Entwickler riefen Administratoren über ihre Ankündigungsliste dazu auf, die Aktualisierungen so schnell wie möglich nach ihrem Erscheinen zu installieren. Falls Details zu den Lücken vorzeitig bekannt werden oder aktive Angriffe beobachtet werden, behält sich das Team eine frühere Veröffentlichung vor.

Fremder Code

Die Sicherheitsfirma WatchTowr bestätigte gegenüber dem US-Magazin BleepingComputer, dass es sich bei den Schwachstellen mit den Kennungen CVE-2026-109618 und CVE-2026-109619 um Remote-Code-Execution-Lücken handeln soll. Diese ermöglichen es Angreifern grundsätzlich, über eine Netzwerkverbindung eigenen Code auf einem verwundbaren System auszuführen. Nach Einschätzung der Forscher dürften die PHP-Versionen 5, 6, 7 und 8 betroffen sein.

Welche PHP-Versionen tatsächlich fehlerhaft sind und welche Releases die Fehler beheben, ist bislang offiziell nicht bekannt. Das Entwicklerteam will diese Informationen zusammen mit den Sicherheitsupdates veröffentlichen. Bis dahin sollten Betreiber von PHP-basierten Systemen die Ankündigungen aufmerksam verfolgen und die Installation der Korrekturen vorbereiten.

WatchTowr erklärte außerdem, eine der beiden Schwachstellen erfolgreich nachgestellt zu haben. Technische Einzelheiten wollen die Forscher jedoch erst veröffentlichen, wenn entsprechende Sicherheitsupdates verfügbar sind. Bislang hätten sie keine Ausnutzung der Lücken in freier Wildbahn beobachtet.

Siehe auch: