tech
Kritische PHP-Sicherheitslücken gefährden Software der letzten 20 Jahre
Kritische PHP-Sicherheitslücken gefährden Software der letzten 20 Jahre und ermöglichen die Fernsteuerung von Servern.
Key points
- Die Lücken CVE-2026-109618 und CVE-2026-109619 betreffen alle PHP-Versionen der letzten zwei Jahrzehnte.
- Angreifer können ohne Anmeldung Code ausführen, wobei zehntausende HTTP-Anfragen in kurzer Zeit ausreichen.
- Updates sind für Windows, macOS und Linux-Distributionen wie Fedora, SUSE oder Gentoo verfügbar.
Why it matters. Da Millionen Angriffsversuche beobachtet werden, müssen Administratoren dringend Patches einspielen, um die vollständige Übernahme ihrer Webserver zu verhindern.
Das PHP-Projekt veröffentlichte am 21. Oktober Aktualisierungen für die kritischen Lücken CVE-2026-109618 und CVE-2026-109619. Diese Schwachstellen mit einem CVSS-Wert von 9,2 ermöglichen laut dem Entdecker Calif die Ausführung von Remote-Code ohne Anmeldung innerhalb von 38 Sekunden. Cloudflare meldete bereits Millionen von Angriffsversuchen auf betroffene Server, NAS-Systeme und vernetzte Geräte. Distributionen wie Debian, Ubuntu und Red Hat stellen bereits aktualisierte Pakete bereit.
Latest updates
Kritische PHP-Sicherheitslücken gefährden Software der letzten 20 Jahre
Die Sicherheitslücken CVE-2026-109618 und CVE-2026-109619 wurden mit einem kritischen CVSS-Wert von 9,2 eingestuft. Laut Heise erlauben diese Schwachstellen die Remote-Code-Ausführung, wobei die Hürden für Angriffe relativ niedrig sind. Experten wie Calif konnten bereits funktionierende Exploits demonstrieren. Die einzige wirksame Gegenmaßnahme ist das sofortige Einspielen der offiziellen Updates.
Kritische PHP-Lücken gefährden zahlreiche Webserver – Patch steht noch aus
Die PHP Group hat nach einem Datenleck vor zwei kritischen Sicherheitslücken in der Skriptsprache PHP gewarnt. Die Schwachstellen können von Angreifern ausgenutzt werden, um auf betroffenen Webservern Schadcode auszuführen oder Sicherheitsmechanismen zu umgehen. Da PHP auf einem erheblichen Teil aller Websites weltweit eingesetzt wird, ist die Zahl potenziell gefährdeter Systeme sehr hoch. Ein offizieller Patch ist nach Angaben der Entwickler in Kürze zu erwarten. Bis dahin wird Administratoren empfohlen, ihre Systeme zu überwachen und verfügbare Workarounds zu prüfen. Die genauen technischen Details der Lücken wurden zunächst nicht vollständig veröffentlicht, um die Ausnutzung zu erschweren.