TI - CVE-2026-109618 & CVE-2026-109619 - PHP - unauthenticated Remote Code Execution

Beschreibung:

Empfohlene Maßnahmen:

Es wird dringend empfohlen, PHP umgehend auf eine der behobenen Versionen zu aktualisieren. Laut PHP-Projekt ist ausschließlich ein Update eine vollständige Abhilfe. Aktualisierte Pakete sind über die jeweilige Linux-Distribution bzw. den LTS-Anbieter zu beziehen. Für das ehrenamtlich gepflegte Repository rpms.remirepo.net sind am 21.10.2026 keine Updates verfügbar. Betreiber:innen, die dieses Repository nutzen, wird empfohlen, auf Distributionspakete umzusteigen oder PHP aus dem Quellcode zu bauen.

Für PHP 8.1 und älter wird ein Upgrade auf eine unterstützte Version bzw. der Bezug von Backports beim Anbieter empfohlen. Für Installationen, die aus dem Quellcode gebaut werden oder keinen LTS-Anbieter nutzen, stehen Backports für PHP 7.4, 8.0 und 8.1 zur Verfügung.

Falls ein sofortiges Update nicht möglich ist, reduzieren folgende Maßnahmen die Angriffsfläche für einzelne bekannte Angriffswege. Sie bieten jedoch keinen vollständigen Schutz:

CVE-2026-109618:

• memory_limit=-1 so setzen, dass Anwendungen den Wert nicht überschreiben können (z. B. per php_admin_value in der FPM-Pool- oder Apache-Konfiguration). Ein zugrunde liegender Fehler bei der Speicherallokation kann den verwundbaren Pfad weiterhin erreichen.
• Einen niedrigen Wert für post_max_size setzen (8M ohne Datei-Uploads, 32M mit Datei-Uploads) und upload_max_filesize darunter halten. Zusätzlich können Begrenzungen auf Webserver- bzw. Proxy-Ebene gesetzt werden (u. a. Anfragegröße, Anzahl der Eingabefelder, Multipart-Teile, Header und Verschachtelungstiefe), auch für Requests ohne verwertbare Content-Length.
• Container- oder cgroup-Speicherlimits als Verfügbarkeitsgrenze einsetzen, bevorzugt so, dass nur der betroffene Worker beendet wird. RLIMIT_AS und RLIMIT_DATA sollten nicht verwendet werden, da diese die verwundbare Speicherallokation auslösen können.

CVE-2026-109619:

• session.upload_progress.enabled=0 in der php.ini, im FPM-Pool oder in der Serverkonfiguration setzen (nicht über ini_set() oder .user.ini) und alle Worker-Prozesse neu starten. Dies blockiert nur die bestätigten Session-Pfade.
• Unter PHP 8.5 zusätzlich fatal_error_backtraces=0 setzen und alle Worker-Prozesse neu starten. Dies blockiert nur den bestätigten Pfad über Fatal-Error-Backtraces.
• Ungültige oder veraltete INI-Einstellungen, die pro Anfrage angewendet werden und vor der Initialisierung Diagnosemeldungen erzeugen, entfernen. Das Unterdrücken dieser Meldungen über error_reporting, display_errors oder @ ist nicht ausreichend.
• Von außen auslösbare Fatal Errors und Ausführungs-Timeouts beheben, auch in Callbacks sowie bei Upload- oder Import-Verarbeitung und Bereinigung.

Generell wird empfohlen, sämtliche Software aktuell zu halten und dabei insbesondere auf automatische Updates zu setzen. Regelmäßige Neustarts stellen sicher, dass diese auch zeitnah aktiviert werden.

Einschätzung der Bedrohung:

Das PHP-Projekt macht zum Zeitpunkt der Veröffentlichung keine Angaben zu einer aktiven Ausnutzung der beiden Schwachstellen. Auch in den übrigen ausgewerteten Quellen finden sich keine entsprechenden Hinweise, und ein Eintrag im CISA Known Exploited Vulnerabilities (KEV) Katalog konnte nicht festgestellt werden.

Allerdings wurde für Apache mit mod_php ein Exploit demonstriert, bei dem ein nicht authentifizierter Request den Angriff auslöst, bevor Anwendungscode ausgeführt wird. Das PHP-Projekt stuft das Risiko für diese Konfiguration daher am höchsten ein. Für CVE-2026-109619 wurde die Codeausführung zusätzlich gegen PHP-FPM validiert. Das PHP-Team hatte sich in der Vorankündigung vorbehalten, das Release vorzuziehen, falls Details öffentlich werden oder eine Ausnutzung beobachtet wird. Die technischen Details sind in den GitHub Security Advisories öffentlich einsehbar.

Das Risiko ist als sehr hoch einzustufen. PHP ist auf einem großen Teil aller Webserver im Einsatz, etwa unter CMS-Plattformen und Webshops. Die Schwachstellen sind ohne Authentifizierung aus der Ferne auslösbar, und es existieren nur eingeschränkt wirksame Workarounds. Mit Scan- und Ausnutzungsversuchen kurz nach Veröffentlichung ist zu rechnen.

Weiterführende Links:

• https://www.php.net/archive/2026.php#2026-10-21-5

• https://www.php.net/archive/2026.php#2026-10-20-1

• https://github.com/php/php-src/security/advisories/GHSA-w8hw-w9fx-j79w

• https://github.com/php/php-src/security/advisories/GHSA-6wmf-4rv5-p3rp
  

• https://github.com/php/php-src/tree/PHP-7.4-CVE-2026-109618-109619
  

• https://github.com/php/php-src/tree/PHP-8.0-CVE-2026-109618-109619
  

• https://github.com/php/php-src/tree/PHP-8.1-CVE-2026-109618-109619
  

• https://www.cert.at/de/warnungen/2026/10/kritische-sicherheitslucken-in-php-updates-verfugbar