Heute früh hat das PHP-Projekt PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35 veröffentlicht. Diese Versionen beheben zwei kritische Schwachstellen, die unter den richtigen Bedingungen einem nicht authentifizierten Angreifer erlauben, Code auf Servern mit PHP auszuführen. Alle, die PHP einsetzen, sollten sofort aktualisieren. Die offizielle Ankündigung auf php.net enthält technische Details und Anleitungen zur Aktualisierung.
Die erste Schwachstelle, CVE-2026-109618, betrifft Situationen mit Speichermangel (OOM). Erreicht eine Anfrage genau im falschen Moment das memory_limit von PHP, kann PHP teilweise initialisierte interne Daten zurücklassen, die später als gültig behandelt werden und so den Speicher beschädigen. Bei Apache mit mod_php kann eine nicht authentifizierte Anfrage dies auslösen, bevor Anwendungscode läuft, und vollständige Remote-Codeausführung wurde mit den Standardeinstellungen demonstriert. Die zweite, CVE-2026-109619, ist ein Problem mit veraltetem Zustand: Ein fataler Fehler kann den internen Status auf Speicher einer früheren Anfrage zeigen lassen, was einen Use-after-Free ermöglicht. Dies wurde gegen eine reale Anwendung demonstriert.
Beide Probleme liegen in zentralen Bereichen von PHP, die nahezu jede Anfrage berührt: Speicherverwaltung und Fehlerbehandlung. Gerade diese zentrale Rolle machte sie gravierend, aber zugleich schwer zu beheben, ohne die Kompatibilität zu brechen, die Leistung zu beeinträchtigen oder umfangreiche Änderungen im großen Ökosystem von Drittanbieter-Erweiterungen zu erzwingen.
Das OOM-Problem wurde erstmals bei einem externen Sicherheitsaudit im Jahr 2024 entdeckt, das von der PHP Foundation finanziert und von Quarkslab durchgeführt wurde. Die Behebung stockte monatelang, während das Sicherheitsteam konkurrierende Ansätze mit jeweiligen Kompromissen abwog. Das Team räumt ein, dass die Verzögerung ein struktureller Fehler war, und ändert nun seinen Entscheidungsprozess, unter anderem durch Mehrheitsabstimmungen. Im Mai 2026 hat die PHP Foundation außerdem ein Ecosystem Security Team gegründet, das Triage, Koordination und Härtung unterstützt.
Quelle: Hacker News · Zusammengefasst von HeadlinesBriefing