Die PHP Foundation hat dringende Sicherheitsupdates für zwei kritische Schwachstellen veröffentlicht, die öffentlich erreichbare PHP-Systeme einer gefährlichen Fernsteuerung durch Angreifer aussetzen könnten. Die als CVE-2026-109618 und CVE-2026-109619 identifizierten Fehler betreffen PHP-Installationen, die Webanfragen bedienen, wie aus den Warnungen der Foundation hervorgeht.
Sicherheitsexperten bezeichneten die Lage als dringend, weil PHP tief in die Internetinfrastruktur eingebettet ist. Die Sprache bildet die Grundlage für zahlreiche Websites und Softwaresysteme, darunter Veröffentlichungsplattformen wie WordPress und Drupal sowie E-Commerce-Software wie Adobe Magento. Eine schwerwiegende Schwachstelle in einer weit verbreiteten Webschicht kann Organisationen gefährden, selbst wenn der betroffene Server kein sichtbarer Teil ihrer Technologielandschaft ist.
Eine weitreichende Gefährdung über die PHP-Geschichte hinweg
Den Berichten zufolge reichen die Schwachstellen bis zu PHP 5 zurück, das im Juli 2004 veröffentlicht wurde. Dieser lange Zeitraum ist für Administratoren besonders problematisch: Alte PHP-Installationen können weiterhin produktiv betrieben, über Legacy-Anwendungen übernommen oder in Infrastrukturen belassen werden, denen zuletzt wenig Aufmerksamkeit galt.
Derzeit werden nur PHP 8.2 und neuere Versionen unterstützt und vom PHP-Projekt mit Patches versorgt. Die Foundation wies darauf hin, dass einige Distributionen und Drittanbieter weiterhin Fehlerbehebungen für ältere Versionen bereitstellen. Diese Unterscheidung erhöht den Druck auf Organisationen mit Legacy-Umgebungen. Sie müssen nicht nur feststellen, ob PHP vorhanden ist, sondern auch, welche Version eingesetzt wird, wer sie liefert und ob ein nutzbares Update verfügbar ist.
Die Empfehlung der Foundation ist ungewöhnlich eindeutig: Aktualisieren ist die einzige sichere Option. Vollständige Gegenmaßnahmen gebe es nicht. In der Praxis sollten Teams Konfigurationsänderungen oder Perimeter-Schutz daher nicht als Ersatz für die Bereitstellung des passenden Sicherheitsupdates betrachten, wenn dieses verfügbar ist.
Warum Webadministratoren schnell handeln
Die Meldungen über die Fehler wurden von Warnungen begleitet, dass Angreifer rasch handeln könnten. Cloudflare erklärte, bereits erste Angriffe beobachtet zu haben, bevor die Foundation Details und Korrekturen veröffentlicht hatte. Das Sicherheitsunternehmen Sansec erwartete, dass wenige Minuten nach der Veröffentlichung groß angelegte Angriffe beginnen würden.
Der Zeitpunkt ist entscheidend. Die öffentliche Bekanntgabe einer kritischen Webschwachstelle kann die Ausnutzung beschleunigen, weil Angreifer und Verteidiger nahezu gleichzeitig dieselben Informationen erhalten. Verteidiger müssen betroffene Systeme identifizieren, Patches testen und anwenden und den sicheren Betrieb der Dienste überprüfen. Angreifer müssen lediglich eine exponierte, noch nicht aktualisierte Installation finden.
Die möglichen Folgen sind besonders schwerwiegend, wenn PHP eingehende Webanfragen verarbeitet. Die gemeldete Sorge besteht darin, dass Angreifer durch die Ausnutzung die Fernsteuerung der Opfersysteme erlangen könnten. Sobald ein solcher Zugang besteht, kann sich der Vorfall abhängig von der Systemkonfiguration und den verfügbaren Rechten des kompromittierten Prozesses über die ursprüngliche Anwendung hinaus ausweiten.
Legacy-Systeme sind der schwierige Sonderfall
Das Alter und die weite Verbreitung von PHP machen vergessene Installationen zu einem zentralen Risiko. Eine Organisation kann ihre wichtigste öffentliche Website modernisiert, aber an anderer Stelle eine alte Anwendung, ein Verwaltungstool, ein Supportportal oder eine von einem Anbieter verwaltete Komponente behalten haben. Diese Systeme können weiterhin Webanfragen verarbeiten und außerhalb der üblichen Update-Zyklen liegen.
Das Problem betrifft nicht nur eine bestimmte Art von Organisation. PHP wird in Veröffentlichung, Handel und allgemeiner Webentwicklung eingesetzt, sodass betroffene Installationen in vielen Branchen zu finden sein können. Die entscheidende Frage lautet nicht, ob das Hauptprodukt in PHP geschrieben wurde, sondern ob irgendein internetseitiger oder intern erreichbarer Dienst darauf angewiesen ist.
Nicht unterstützte Versionen erfordern besondere Aufmerksamkeit. Dass einige Distributionen oder Anbieter Patches bereitstellen, garantiert nicht, dass jede Legacy-Installation eine Korrektur erhält. Wenn der Aktualisierungspfad unklar ist, müssen Organisationen Version und Anbieter ermitteln, statt anzunehmen, dass eine Upstream-Warnung ihre Gefährdung automatisch beseitigt.
Erst patchen, dann überprüfen
Die unmittelbare Reaktion besteht darin, das verfügbare Sicherheitsupdate auf unterstützte PHP-Installationen anzuwenden und für ältere Bereitstellungen Korrekturen des Anbieters oder der Distribution zu beschaffen. Da die Foundation erklärt, dass es keine vollständigen Gegenmaßnahmen gibt, hinterlässt ein Aufschub der Updates ein Restrisiko, das andere kompensierende Kontrollen nicht vollständig beseitigen können.
Organisationen sollten ihre Inventare nach dem Patchen ebenfalls überprüfen. Öffentlich erreichbare Dienste, Content-Management-Systeme, E-Commerce-Stacks und weniger auffällige Webanwendungen verdienen eine Kontrolle. Ziel ist es, leicht zu übersehende Systeme zu finden, nicht nur die bereits bekannten und zentral verwalteten Server.
Der Vorfall erinnert daran, dass grundlegende Software bei einer kritischen Schwachstelle ein systemisches Risiko erzeugen kann. Die Nützlichkeit von PHP hat die Sprache zu einem dauerhaften Bestandteil des Webs gemacht; zugleich können alte Installationen dadurch die Prozesse überdauern, die sie schützen sollen. Da bereits erste Angriffe gemeldet wurden und Experten mit einer breiteren Ausnutzung rechnen, ist die sicherste Vorgehensweise die von der PHP Foundation genannte: betroffene Systeme so schnell wie möglich aktualisieren.
Dieser Artikel basiert auf einer Berichterstattung von Wired. Originalartikel lesen.
Originally published on wired.com
