PHP-Sicherheitsupdates beheben zwei kritische Schwachstellen für remote code execution
Für zwei kritische Schwachstellen in PHP, der Programmiersprache, die serverseitige Funktionen für Websites verarbeitet, stehen jetzt Sicherheitsupdates zur Verfügung. Das PHP-Projekt hat PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35 veröffentlicht, um CVE-2026-109618 und CVE-2026-109619 zu beheben. Beide Schwachstellen können unauthenticated remote code execution ermöglichen, sodass ein Angreifer eigenen Code auf einem Server ausführen könnte, ohne sich zuvor anzumelden. Das PHP-Projekt fordert alle Benutzer nachdrücklich auf, das Update unverzüglich durchzuführen.
In einer Vorabmitteilung vom 20. Oktober bewertete das PHP-Sicherheitsteam beide Schwachstellen mit 9,2 nach CVSS v4.0, dem Common Vulnerability Scoring System zur Bewertung von Sicherheitslücken. Damit fallen sie in den Bereich Critical. Wordfence empfiehlt, sicherzustellen, dass jede verwaltete Website so schnell wie möglich auf eine gepatchte PHP-Version umgestellt wird.
Das Problem betrifft WordPress unmittelbar, da jede WordPress-Website auf PHP angewiesen ist. Die Schwachstellen befinden sich jedoch in PHP selbst und nicht in WordPress, einem Plugin oder einem Theme. Automatische WordPress-Updates können sie daher nicht beheben. Die auf dem Webserver installierte PHP-Software muss separat aktualisiert werden, entweder durch den Hostinganbieter oder durch die für die Serververwaltung zuständige Person.
Laut dem PHP-Sicherheitshinweis ist jede PHP-Installation gefährdet, die Webanfragen verarbeitet. Zu den betroffenen Serverkonfigurationen gehören PHP-FPM, ein Dienst, der PHP-Anfragen getrennt vom Webserver verarbeitet, Apache mit mod_php, php-cgi, FrankenPHP und LiteSpeed. Das PHP-Projekt hält die Gefahr bei mod_php für am größten. Es hat einen Exploit demonstriert, bei dem eine nicht authentifizierte Webanfrage die Schwachstelle auslösen kann, bevor irgendein Anwendungscode ausgeführt wird. Das bedeutet, dass die Website-Anwendung selbst keine Gelegenheit erhält, die Anfrage zuvor zu prüfen oder abzulehnen.
Benutzer von PHP 8.5 sollten Version 8.5.12 installieren, während Installationen von PHP 8.4 auf 8.4.27 umgestellt werden sollten. PHP 8.3 wurde in 8.3.36 korrigiert und PHP 8.2 in 8.2.35. Nach Angaben des PHP-Projekts erreicht PHP 8.2 am 31. Dezember 2026 end of life, also den Zeitpunkt, ab dem es keine offiziellen Updates mehr erhält. Nach diesem Datum wird es keine Sicherheitskorrekturen des PHP-Projekts mehr erhalten. PHP 8.1 und frühere Versionen werden vom Projekt bereits nicht mehr mit Updates unterstützt.
Einige Linux-Distributionen und Anbieter mit long-term support beziehungsweise LTS stellen möglicherweise weiterhin backported fixes bereit. Ein backported fix passt eine neuere Sicherheitskorrektur für eine ältere Softwareversion an, ohne diese auf die neueste Hauptversion umzustellen. Administratoren, die solche Pakete verwenden, sollten sich an ihren Anbieter wenden oder dessen Sicherheitshinweis lesen, da die angezeigte PHP-Version auch nach der Installation der Korrektur unverändert bleiben kann. Das PHP-Sicherheitsteam hat außerdem minimale source backports für PHP 7.4, PHP 8.0 und PHP 8.1 für Organisationen bereitgestellt, die PHP aus dem Quellcode kompilieren oder keine Updates von einem LTS-Anbieter erhalten können.
Betreiber von WordPress-Websites können ihre aktuelle PHP-Version ermitteln, indem sie das WordPress-Dashboard öffnen, Werkzeuge auswählen, Website-Zustand aufrufen, die Registerkarte Bericht öffnen und den Abschnitt Server aufklappen. Wenn ein Hostinganbieter PHP verwaltet, sollten Kunden dessen Statusseite prüfen oder sich bestätigen lassen, dass auf dem Server eine der korrigierten Versionen läuft. Eine Versionsnummer allein bestätigt den Schutz möglicherweise nicht, wenn eine Linux-Distribution oder ein LTS-Anbieter ein eigenes backported package installiert hat.
Administratoren, die für ihre eigenen Server verantwortlich sind, sollten zunächst ein Backup erstellen und anschließend die aktualisierten PHP-Pakete ihrer Linux-Distribution oder ihres LTS-Anbieters installieren. Nach Angaben des PHP-Projekts haben diese Anbieter die Korrekturen vorab erhalten. PHP-Downloads sowie Windows-Quellcodepakete und binaries sind über die PHP-Downloadseite verfügbar.
Benutzer des von Freiwilligen gepflegten remirepo-Repository unter rpms.remirepo.net sollten nach aktualisierten Paketen suchen. Im PHP-Sicherheitshinweis hieß es zunächst, dass das Repository am 21. Oktober keine Updates bereitstellen werde. Die PHP Foundation berichtete später jedoch, dass der Maintainer aktualisierte Pakete signierte. Dennoch fordert der Hinweis remirepo-Benutzer dazu auf, auf Pakete ihrer Distribution umzusteigen oder PHP aus dem Quellcode zu kompilieren, damit sie Updates sofort anwenden können.
Nach Angaben des PHP-Projekts ist ein Update die einzige vollständige Lösung. Der Sicherheitshinweis enthält vorübergehende Maßnahmen für Installationen, die noch nicht aktualisiert werden können. Diese verringern jedoch nur die Gefährdung durch bestimmte Angriffswege und machen die betroffene Installation nicht sicher. Administratoren oder Hostinganbieter, die diese Maßnahmen benötigen, sollten die Anweisungen des Sicherheitshinweises genau befolgen, statt sie als Ersatz für eine korrigierte PHP-Version zu betrachten.
Wordfence Threat Intelligence untersucht die Schwachstellen und will bei Bedarf weitere Informationen veröffentlichen. Wordfence erklärt außerdem, dass sein Care-Service während der Geschäftszeiten incident response bereitstellt, während Response das ganze Jahr über rund um die Uhr verfügbar ist und eine Reaktionszeit von einer Stunde bietet. Für Website-Betreiber, die eine verwaltete Infrastruktur bevorzugen, statt PHP selbst zu administrieren, bietet AEU Hosting vollständig abgesichertes Managed WordPress Hosting an. Unabhängig vom Hostingmodell muss unbedingt bestätigt werden, dass das serverseitige PHP-Paket gepatcht wurde.