PHP veröffentlicht Notfall-Patches für zwei kritische RCE-Lücken, die vor ihrer Offenlegung ausgenutzt wurden

Das PHP-Projekt veröffentlichte am 21. Oktober 2026 Notfall-Sicherheits-Patches für zwei kritische unauthentifizierte Remote-Code-Execution-Schwachstellen, doch Angreifer nutzten diese bereits seit dem 17. Oktober aus — vier Tage vor den Fixes. Die US-amerikanische National Security Agency riet Organisationen, die PHP betreiben, sofort zu aktualisieren oder betroffene Systeme offline zu nehmen.

Beide Schwachstellen haben einen CVSS-v4.0-Score von 9.2. Regierungswebseiten, Schulen und Krankenhäuser weltweit gingen während der Notfall-Patchvorgänge laut Reuters offline. Sicherheitsexperten verglichen den Umfang mit der Heartbleed-Krise von 2014, wobei einige ihn als noch größer einschätzten.

Was sind die Schwachstellen

CVE-2026-109618 ist ein Speicherkorruptionsfehler beim Speicherlimit. Wenn eine PHP-Anfrage im falschen Moment das Speicherlimit erreicht, kann die Laufzeit teilweise initialisierte Daten hinterlassen, die PHP später als gültig behandelt. Auf Apache mit mod_php kann ein nicht authentifizierter Angreifer dies vor der Ausführung des Anwendungscodes auslösen, und vollständige RCE wurde in Standardkonfigurationen demonstriert.

CVE-2026-109619 nutzt veralteten globalen Zustand aus. Ein fataler Fehler im falschen Moment kann den internen PHP-Zustand dazu bringen, auf den Speicher einer vorherigen Anfrage zu zeigen. Eine spätere Anfrage im selben Worker-Prozess kann diesen hängenden Zeiger ausnutzen, was zu Use-After-Free und bestätigter RCE führt.

KI-Tools fanden die Lücken; Embargo-Leck beschleunigte die Krise

Mehrere Forschungsteams fanden die Grundursache unabhängig voneinander ab August 2026. Alpha-Omega hatte PHP mit Anthropics Claude Mythos gescannt. Teilnehmer an OpenAIs Patch the Planet-Programm reichten am 11. August den ersten vollständigen RCE-Bericht ein. Am 20. Oktober leakten CVE-IDs und ein falscher CVSS-Score von 10.0 online. Der Forscher Calif veröffentlichte versehentlich ein funktionierendes Proof-of-Concept-Video. Am nächsten Morgen brach Chainguard das Embargo, indem sie gepatchte Docker-Images mehr als sechs Stunden vor dem geplanten Zeitpunkt veröffentlichten. AWS-Analysten bestätigten gegenüber Wired, dass die Ausnutzung am 17. Oktober begann.

Die Behebung dauerte Monate, und das war das eigentliche Versagen

Die PHP Foundation räumte ein, dass die Grundursache 2024 identifiziert worden war, der Fix aber monatelang wegen Meinungsverschiedenheiten über Implementierungs-Trade-offs verzögert worden war. Die Foundation nannte dies einen «strukturellen Fehler» und kündigte ein neues Ecosystem Security Team, zusätzliche Einstellungen und Reformen der Entscheidungsprozesse an.