PHP Foundation räumt strukturelles Versagen bei Sicherheitslücke ein

Die PHP Foundation räumte am Mittwoch, den 21. Oktober, ein, dass die Verzögerung bei der Behebung einer von zwei kritischen Schwachstellen in der Programmiersprache PHP ein strukturelles Versagen war. Das Eingeständnis erfolgte, nachdem Notfall-Patches veröffentlicht wurden und Regierungen weltweit aus Vorsicht Websites offline nahmen, berichtete Reuters via The Standard. Laut der Stiftung entdeckte ein Forscher erste Anzeichen einer Schwachstelle im Jahr 2024, doch da zu diesem Zeitpunkt kein konkreter Angriffsweg bekannt war, wurden andere Probleme mit klareren Auswirkungen priorisiert.thestandard.com.hk

Ein Fix, der monatelang stockte

In einem Blogbeitrag, aus dem LWN zitierte, erklärte die Stiftung, dass das Sicherheitsteam mehrere konkurrierende Lösungen entwickelte. Jede hatte ihren Preis: eine verletzte die Abwärtskompatibilität, eine schuf ein neues Risiko für Denial-of-Service-Angriffe und eine erforderte Änderungen an vielen Erweiterungen von Drittanbietern. Das Team traf Entscheidungen im Konsens und fürchtete die Konsequenzen einer falschen Wahl. Da kein Weg zur Remote-Code-Ausführung bekannt war und die wenigen Kernentwickler mit tiefem Wissen über die Engine viele andere Aufgaben hatten, stockte die Arbeit und wurde über Monate hinweg immer wieder neu gestartet. Wir werden nicht so tun, als wäre es anders gewesen: Die Verzögerung war ein strukturelles Versagen, verursacht sowohl durch den Entscheidungsprozess des Sicherheitsteams als auch durch dessen Ressourcenmangel, so die Stiftung.lwn.net

Das Problem wurde am 11. August wieder akut. An diesem Tag meldeten das Sicherheitsunternehmen Calif und OpenAI unabhängig voneinander dieselbe Ursache, und Calif zeigte, dass es Code ohne Einschränkungen aus der Ferne ausführen konnte, berichtete Cointelegraph. Die Stiftung erklärte, sie habe Sicherheitsentscheidungen seitdem vom Konsens auf Mehrheitsentscheidungen umgestellt und zwei weitere Ingenieure eingestellt. Sie forderte zudem Unternehmen und Regierungen, die auf PHP angewiesen sind, auf, sich an den Kosten für die Sicherheitsarbeit zu beteiligen, berichtete The Next Web. Die Veröffentlichung wurde um einen Tag vorgezogen, nachdem die Schwachstellen-IDs online durchgesickert waren, und die Stiftung kritisierte Chainguard dafür, gepatchte Images vor der koordinierten Veröffentlichung veröffentlicht zu haben.tradingview.com+1

Websites gehen vom Netz

Die Fehler, mit dem Spitznamen PHP2Shell, werden als CVE-2026-109618 und CVE-2026-109619 geführt. Sie wurden in PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35 behoben, und jede PHP-Installation, die Webanfragen verarbeitet, ist potenziell betroffen, berichtete The Register. Cybersicherheitsbehörden in den USA, Großbritannien, Kanada, Australien und der EU wiesen Website-Betreiber an, ihre Seiten offline zu nehmen, bis sie aktualisieren konnten, berichtete Cybersecurity Dive. Der Sicherheitsjournalist Brian Krebs schätzte, dass fast 70 Prozent aller Websites das Update benötigen.theregister.com+2

Die Niederlande schalteten ihren digitalen Identitätsdienst ab. Der finnische staatliche IT-Dienstleister Valtori trennte öffentliche Webdienste vom Netz, und Frankreich nahm vorübergehend Websites von Präfekturen offline, berichtete Cointelegraph. Auch die Wikimedia Foundation nahm einige unterstützende Dienste offline. Coinbase ↘ 2.74% erklärte, keine exponierten PHP-Instanzen gefunden zu haben.tradingview.com

Die US-Cybersicherheitsbehörde CISA erklärte, sie habe bei Veröffentlichung ihrer Warnung keine Ausnutzung dieser Schwachstellen beobachtet. Sie warnte jedoch, dass diese ein Risiko für Organisationen darstellen, wenn sie ungepatcht bleiben, so Reuters.thestandard.com.hk