PHP veröffentlicht Notfall-Patches für kritische PHP2Shell-Sicherheitslücken

Am Mittwoch, den 21. Oktober, veröffentlichten die PHP-Betreuer außerplanmäßige Sicherheitsupdates für zwei kritische Schwachstellen im Kern der Sprache. Die Fehler werden zusammen als PHP2Shell bezeichnet und ermöglichen es einem Angreifer ohne Konto, Code auf Webservern auszuführen. BleepingComputer berichtete, dass die korrigierten Versionen PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35 sind. Die Schwachstellen werden als CVE-2026-109618 und CVE-2026-109619 geführt und sind jeweils mit 9.2 auf der CVSS v4.0-Skala bewertet. The Hacker News meldete, dass PHP die Updates gegen 14:00 Uhr UTC veröffentlichte, einen Tag nachdem Details vor einer geplanten Offenlegung am 22. Oktober durchgesickert waren.bleepingcomputer.com+1

Die Risiken sind hoch, da die Schwachstellen in der Laufzeitumgebung selbst liegen und nicht in einzelnen Anwendungen. Wiz Research, eines der Teams, das sie entdeckte, sagt, dass PHP etwa 70 % der weltweiten Websites betreibt und dass jede PHP-Version des letzten Jahrzehnts, bis zurück zu 5.4, mindestens einen der Fehler aufweist.ncsc.gov.uk

Regierungen nehmen Websites offline

Regierungsbehörden in den Niederlanden und Finnland nahmen vorsorglich Websites offline, berichtete Reuters. Cybersicherheitsbehörden in Europa, Australien, Japan und Großbritannien wiesen PHP-Nutzer an, sofort zu aktualisieren oder ihre Websites offline zu nehmen. Die niederländische Cybersicherheitsbehörde schaltete ihre eigene Website ab. Ebenso die Tweede Kamer, das Unterhaus des niederländischen Parlaments, und das Nationale Institut für öffentliche Gesundheit und Umwelt, so die BBC. Das britische National Cyber Security Centre riet: "Wo eine sofortige Behebung nicht möglich ist, sollten Organisationen in Erwägung ziehen, das System offline zu nehmen."reuters.com+1

Bevor die Patches herauskamen, sagte Cloudflare-CTO Dane Knecht: "Wir sehen erste Angriffe aufkommen" und bezeichnete die Firewall-Regeln des Unternehmens nur als "Notlösung". Ein erfolgreicher Einbruch wurde nicht bestätigt. Stand 11:26 Uhr UTC hatte watchTowr keine Ausnutzung in freier Wildbahn beobachtet.thehackernews.com+1

Ältere Versionen bleiben exponiert

Die Schwachstellen betreffen PHP-FPM, Apache mit mod_php, php-cgi, FrankenPHP und LiteSpeed. Das PHP-Team sagt, dass mod_php das höchste Risiko birgt, da ein demonstrierter Exploit durch eine nicht authentifizierte Anfrage ausgelöst werden kann, "bevor irgendein Anwendungscode ausgeführt wird". Version 8.1 und älter werden nicht mehr unterstützt und erhalten keine offiziellen Releases. Angesichts der Schwere der Fehler veröffentlichte das PHP-Team jedoch minimale Quellcode-Backports für 7.4, 8.0 und 8.1. Angreifer können auch den Arbeitsspeicher auslesen, der Passwörter, API-Schlüssel und Zertifikate enthalten kann. Das Aktualisieren einer Anwendung wie WordPress aktualisiert nicht die darunter liegende PHP-Laufzeitumgebung.bleepingcomputer.com+1

KI-gestützte Entdeckung

Die Schwachstellen wurden von Wiz, Calif und dem Codex Security-Team von OpenAI gefunden. Laut The Hacker News war der zugrunde liegende Code seit mehr als einem Jahrzehnt in PHP enthalten. Wiz verglich PHP2Shell mit Heartbleed und Log4Shell. Es hieß, dass moderne KI-Modelle die Hürde, eine langjährige Schwachstelle in einen funktionierenden Exploit zu verwandeln, "erheblich gesenkt" hätten. Vor der Veröffentlichung warnte der PHP-Kernentwickler Gina Peter Banyard, dass "die einzige Schadensbegrenzung das Patchen/Aktualisieren von PHP ist."thehackernews.com+1