PHP veröffentlicht dringende Sicherheitspatches für zwei kritische Schwachstellen

Image: Ars Technica · Source

Die PHP-Verantwortlichen planen die Veröffentlichung von Notfall-Patches für zwei Hochrisiko-Schwachstellen mit einem Score von 9,2, die einen Exploit namens PHP2Shell adressieren, der Remote-Code-Ausführung auf zahlreichen PHP-basierten Plattformen ermöglicht.

PHP, eine weit verbreitete Open-Source-Skriptsprache, die viele Websites und Anwendungen antreibt, wird Notfall-Sicherheitspatches für zwei kritische Schwachstellen veröffentlichen. Die Schwachstellen, unter den Kennungen CVE-2026-109618 und CVE-2026-109619 geführt, wurden von den PHP-Verantwortlichen mit einer Schwerebewertung von 9,2 von 10 eingestuft. Die Veröffentlichung des Patches wird in Kürze erwartet, wobei gewarnt wird, dass Details oder Nachweise einer aktiven Ausnutzung eine frühere Veröffentlichung auslösen könnten.

Ein unverifizierter Bericht erschien zusammen mit einem Demonstrationsvideo eines Exploit-Tools namens PHP2Shell, das angeblich Remote-Code-Ausführung auf Webservern ermöglicht, die verschiedene PHP-basierte Content-Management-Systeme und Anwendungen betreiben. Dazu gehören populäre Plattformen wie WordPress 7.1.3, MediaWiki 1.46.2, phpBB 3.3.17, Magento 2.4.9, Joomla 6.2.0, Laravel Versionen 8.83.29 und 13.36.0, Symphony 8.1.9, Drupal 11.4.10 und WHMCS 9.0.9.

Das Sicherheitsunternehmen watchTowr gab an, dass diese Schwachstellen alle PHP-Versionen ab PHP 5, das 2004 veröffentlicht wurde, betreffen und hat deren Authentizität unabhängig bestätigt. Mehrere Sicherheitsfirmen, darunter Sansec, Webfence und Huntress, haben Warnungen herausgegeben, wobei Sansec Massenangriffe kurz nach Veröffentlichung der Patches vorhersagt.

Administratoren wird geraten, sich proaktiv vorzubereiten, indem sie die Verantwortlichen für die PHP-Wartung identifizieren, PHP-basierte Anwendungen inventarisieren, ein Wartungsfenster planen – empfohlen wird ein Start um 14:00 UTC, möglicherweise auch früher – und vollständige Backups der Webseiten und Datenbanken sicherstellen. Experten empfehlen auch, die offizielle Website PHP.net aufmerksam auf Aktualisierungen oder eine beschleunigte Patch-Veröffentlichung zu überwachen.

Da PHP für Millionen von Websites und internen Tools weltweit unverzichtbar ist – geschätzt 1,3 Millionen internetverbundene Hosts könnten verwundbar sein – könnte die Auswirkung dieser Sicherheitslücken beträchtlich sein. Organisationen wird geraten, nicht benötigte Systeme vorübergehend zu trennen, bis die Patches angewendet sind. Wachsamkeit bleibt entscheidend, da die Patches jederzeit veröffentlicht werden könnten, um aktive Bedrohungen zu mildern.