Wichtige Informationen
Am 21. Oktober veröffentlichte das PHP-Entwicklerteam dringende Sicherheitsupdates, um zwei kritische Schwachstellen, CVE-2026-109618 und CVE-2026-109619, zu beheben. Beide Fehler haben einen CVSS v4.0-Schweregrad von 9,2 und könnten potenziell eine nicht authentifizierte Remote-Code-Ausführung auf betroffenen Servern ermöglichen.
Die Probleme betreffen Speicherbeschädigungen und verbleibende interne Zustände nach der Speicherfreigabe. Die Schwachstellen lösten weit verbreitete Vorsichtsmaßnahmen aus, wobei Regierungs- und private Einrichtungen in Europa, Japan und den Vereinigten Staaten Websites offline nahmen. In Japan leiteten große Spieleunternehmen, darunter SEGA, CAPCOM, Bandai Namco und Cygames, Notfallwartungen ein.
Weitere betroffene Plattformen sind Niconico, 4chan und verschiedene Community-Seiten. Die Sicherheitsfirma Sansec warnte, dass groß angelegte Angriffe innerhalb von 15 Minuten nach der Veröffentlichung des Patches auftreten könnten. Cloudflare-CTO Dane Knecht bestätigte, erste böswillige Aktivitäten beobachtet zu haben, und merkte an, dass Firewall-Anpassungen zwar vorübergehenden Schutz bieten, aber nicht die Notwendigkeit ersetzen, die offiziellen PHP-Updates zu installieren.
PHP hat die Versionen 8.5.12, 8.4.27, 8.3.36 und 8.2.35 veröffentlicht, um diese Risiken zu mindern. Experten betonen, dass das potenzielle Ausmaß enorm ist, da PHP etwa 75 % der Websites mit bekannten serverseitigen Sprachen betreibt, einschließlich derjenigen, die WordPress verwenden. Administratoren werden dringend gebeten, sofort zu aktualisieren, wobei Nutzer von Shared Hosting möglicherweise darauf angewiesen sind, dass ihre Anbieter die notwendigen Umgebungspatches anwenden.
