Kritische PHP-Fehler zwingen Regierungswebsites vor Notfall-Patch offline

Das PHP-Entwicklerteam plante eine außerplanmäßige Sicherheitsveröffentlichung für 14:00 UTC am 21. Oktober 2026, um zwei kritische Sicherheitslücken zu beheben, nachdem Details einen Tag zuvor online durchgesickert waren, wie The Hacker News und das Sicherheitsunternehmen Sansec berichten. Die Fehler wurden als CVE-2026-109618 und CVE-2026-109619 erfasst und von Forschern informell "PHP2Shell" genannt, ein Name, den PHPs eigenes Team nicht übernahm, wie The Hacker News berichtete.

Was die Sicherheitslücken sind

Nach Sansecs technischem Bericht ist CVE-2026-109618 ein Use-After-Free-Fehler in PHPs Upload-Progress-Handling, der Serverspeicher – einschließlich Passwörtern, Session-Token und TLS-Privatschlüsseln – über das PHPSESSID-Cookie durchsickern lassen kann, in einer Weise, die die Firma mit dem Heartbleed-Bug von 2014 verglich. CVE-2026-109619 ist ein separater Use-After-Free-Fehler, der ausgelöst wird, wenn während der Speichererschöpfung ein schwerwiegender Fehler auftritt, kombiniert mit Typverwechslung in PHPs OPcache, was Sansec zufolge Remote-Code-Ausführung ermöglicht. Beide Fehler werden durch Multipart/Form-Data-Anfragen erreicht, das Format, das Webseiten für Datei-Uploads verwenden.

Das britische National Cyber Security Centre (NCSC) beschrieb das Risiko in seiner Mitteilung vom 21. Oktober als es einem Angreifer ermöglichend, "Befehle auf jedem Webserver, auf dem PHP läuft, auszuführen", ohne sich anmelden zu müssen, und stufte das Problem als kritisch ein.

Warum Regierungen und Plattformen offline gingen

Weil PHP einem großen Teil des Webs zugrunde liegt, entschieden sich mehrere Organisationen dafür, öffentlich zugängliche Websites herunterzufahren, anstatt auf den Patch zu warten. Techzine berichtete, dass niederländische Regierungsdienste wie MijnOverheid, DigiD und parlamentarische Systeme vorübergehend offline genommen wurden, und die Nachrichtenmeldung von KSL besagte, dass Cybersicherheitsbehörden in den Niederlanden und Finnland Regierungswebsites aus Vorsichtsmaßnahmen herunterfuhren. Techzine berichtete auch, dass das britische NCSC und die US Cybersecurity and Infrastructure Security Agency (CISA) Warnungen ausschrieben, die Administratoren aufforderten, betroffene Systeme zu patchen oder zu deaktivieren, während Wikipedia und Meta weiter betrieben wurden, indem sie modifizierte PHP-Laufzeiten und Web-Application-Firewall-Regeln anwendeten, anstatt offline zu gehen.

Sansec berichtete, dass PHP-Core-Entwickler Gina Peter Banyard das Offline-Nehmen von Servern vor Ankunft des Patches als die sinnvollste Option für Organisationen beschrieb, die keinen Fix sofort anwenden konnten – ein Rat, dem mehrere niederländische Einrichtungen folgten.

Cloudflare sagte, dass es begann, Ausnutzungsversuche vor der Veröffentlichung des offiziellen Patches zu sehen. Nach dem KSL-Bericht sagte der Chief Technology Officer von Cloudflare, dass das Unternehmen frühe Angriffe beobachtete und seine Schutzmaßnahmen kontinuierlich aktualisierte, während neue Angriffsmethoden auftauchten, wobei Cloudflares Schutz als vorübergehende Notlösung bis zum offiziellen Fix von PHP beschrieben wurde. Sansec berichtete separat, dass Cloudflare Angriffe ab 07:43 UTC am 21. Oktober erkannte, ungefähr sechs Stunden vor PHPs geplanter Behebung.

• WordPress, Drupal, Joomla und Magento, die auf PHP basierenden Content-Management- und E-Commerce-Systeme
• Spezifische von Sansec als sicher anfällig benannte Versionen: Magento 2.4.9, WordPress 7.1.2, Drupal 11.4.3, Joomla 6.1.4, MediaWiki 1.46.2, Roundcube 1.7.4, phpMyAdmin 5.2.3, Nextcloud 35.0.1, Laravel 13.11 und Symfony 8.1
• Shared-Hosting-Plattformen und Kontrollpanels, die PHP bündeln, gemäß NCSC-Beratung
• Niederländische Regierungsdienste DigiD und MijnOverheid, laut Techzine

Expositionsumfang: Schätzungen variieren

Was bekannt ist und was nicht

PHPs Team bestätigte, dass PHP 8.2, 8.3, 8.4 und 8.5 offizielle Fixes erhalten würden – erwartet werden Versionen 8.5.12, 8.4.27, 8.3.36 und 8.2.35, laut The Hacker News – während End-of-Life-Branches 8.1 und älter nicht vom Anbieter gepflegt würden. Sansec sagte jedoch, dass der zugrundeliegende fehlerhafte Code bis zu PHP 5.4.0 zurückreicht, was bedeutet, dass viele ältere, nicht unterstützte Installationen wahrscheinlich anfällig bleiben und keinen offiziellen Fix erhalten. Laut The Hacker News war kein öffentlicher Proof-of-Concept-Exploit ab seinem Bericht am 21. Oktober verfügbar, und die Fehler waren zu diesem Zeitpunkt nicht in CISAs Katalog der bekannten ausgebeuteten Sicherheitslücken eingetragen – obwohl Cloudflares spätere Erklärung darauf hinwies, dass Angriffsversuche bereits im Gange waren.

Hintergrund: wie die Fehler gefunden wurden

Sansecs Zeitplan verfolgt den ersten Fehler auf Forschungen zurück, die am 1. August 2026 von einem Forscher mit dem Handle "Calif" in Zusammenarbeit mit OpenAI begannen, der ihn am 11. August an PHPs Sicherheitsteam meldete. Ein zweiter, verwandter Bericht kam vom Wiz Research Team – benannt von Sansec als Sagi Tzadik, Shir Tamari, Nir Ohfeld und Tomer Schwartz – am 24. August. Sansec sagte, dass beide Forschungsteams KI-Modelle dafür gutschrieben, die Arbeit zum Finden und Anpassen von Exploits über PHP-Versionen hinweg zu beschleunigen, wobei ein Forscher angeblich in etwa einer Woche die Ausnutzung funktionieren ließ. Details der koordinierten, unterstellten Offenlegung wurden am 20. Oktober öffentlich durchgesickert, was PHP veranlasste, seine Ankündigung vorzuziehen und die Veröffentlichung des Patches vom 21. Oktober festzulegen.