# PHP-Projekt veröffentlicht Notfall-Patches für kritische Schwachstellen bei der Remotecodeausführung

Source: TechNewsList (https://technewslist.com)
Canonical URL: https://technewslist.com/de/article/php-project-issues-emergency-patches-for-critical-rce-flaws-2026-10-21-night-de
Section: Software (https://technewslist.com/de/software)
Author: TechNewsList
Language: de
Published: 2026-10-21T18:08:51.662+00:00
Updated: 2026-10-21T18:08:51.862556+00:00

> Das PHP-Kernentwicklungsteam veröffentlicht Notfall-Sicherheitsupdates, die Sicherheitslücken mit höchstem Schweregrad durch nicht authentifizierte Remotecodeausführung auf globalen Servern beheben.

## TL;DR
- Das PHP-Projekt hat Notfall-Patches für die kritischen Schwachstellen CVE-2026-109618 und CVE-2026-109619 veröffentlicht.
- Die Schwachstellen ermöglichen es nicht authentifizierten Remote-Angreifern, beliebige Shell-Befehle auf Zielservern auszuführen.
- Die Schwachstellen sind auf eine fehlerhafte Verarbeitung von Speicherzeigern innerhalb der Kernroutinen zum Parsen von Zeichenfolgen zurückzuführen.
- Globale Cybersicherheitsbehörden, darunter CISA und CERT-EU, haben dringende Richtlinien erlassen, die sofortige Aktualisierungen vorschreiben.
- Systemadministratoren werden dringend gebeten, sofort Upstream-Releases anzuwenden oder Web Application Firewall-Regeln zu implementieren.

## Key points
- Nicht authentifizierte Fehler bei der Remote-Codeausführung wirken sich weltweit auf weit verbreitete Produktions-PHP-Implementierungen aus.
- Die Fehler wurden bei automatisierten Sicherheitsüberprüfungen mithilfe von Tools zur Codeüberprüfung mit künstlicher Intelligenz identifiziert.
- Für die Ausnutzung ist keine vorherige Authentifizierung oder ein privilegierter Zugriff auf Host-Webserverumgebungen erforderlich.
- Die Sicherheitslücke betrifft sowohl ältere als auch moderne PHP-Laufzeitzweige auf Unix- und Windows-Plattformen.
- Cloud-Infrastrukturanbieter setzen Notfall-Netzwerkfilter ein, um Scan- und Ausnutzungsversuche einzudämmen.

## Was passiert ist

Am 21. Oktober 2026 veröffentlichten die Kernbetreuer des PHP-Open-Source-Projekts Notfall-Out-of-Band-Sicherheitsversionen, um zwei kritische Schwachstellen bei der Remotecodeausführung zu beheben, die als CVE-2026-109618 und CVE-2026-109619 verfolgt werden. Die Schwachstellen weisen eine Schweregradbewertung des Common Vulnerability Scoring Systems in der Nähe des Maximalwerts von zehn auf und ermöglichen es nicht authentifizierten Remote-Angreifern, beliebige Betriebssystembefehle mit den Berechtigungen des zugrunde liegenden Webserverprozesses auszuführen. Die Sicherheitslücke betrifft weite Teile des globalen Internets, da PHP weiterhin auf mehr als siebzig Prozent der Websites läuft, die serverseitige Programmiersprachen verwenden.

Die kritischen Mängel wurden im Rahmen einer automatisierten Schwachstellenforschungskampagne aufgedeckt, die von Sicherheitsforschern mithilfe fortschrittlicher Codeanalysemodelle für künstliche Intelligenz durchgeführt wurde. Nachdem das PHP-Entwicklungsteam überprüft hatte, dass die Schwachstellen durch Standard-HTTP-POST-Anfragen ohne Authentifizierung oder komplexe Vorbedingungen als Waffe genutzt werden könnten, mobilisierte es einen beschleunigten, international koordinierten Offenlegungszeitplan, um Upstream-Patches für alle unterstützten Release-Zweige bereitzustellen.

![Server-Rack-Infrastruktur und Netzwerk-Switches für Unternehmens-Webdienste.](https://rkhynbcsbnkkcwgexzwg.supabase.co/storage/v1/object/public/media/api/1792605106842-c3qmgl-php-project-issues-emergency-patches-for-critical-rce-flaws-2026-10-21-night-inside-1-be30cfaa27.webp)
*Server-Rack-Infrastruktur und Netzwerk-Switches für Unternehmens-Webdienste.*

Staatliche Cybersicherheitsbehörden auf der ganzen Welt haben nach der öffentlichen Empfehlung sofort die Alarmstufe erhöht. Die US-Behörde für Cybersicherheit und Infrastruktursicherheit hat ihrem Katalog „Known Exploited Vulnerabilities“ sowohl Common Vulnerabilities als auch Exposures-Kennungen hinzugefügt, während europäische Computer-Notfallschutzeinheiten verbindliche Richtlinien herausgegeben haben, die Regierungsbehörden und Betreiber kritischer Infrastrukturen dazu verpflichten, ihre öffentlich zugänglichen Webserver innerhalb von 24 Stunden zu patchen.

## Warum es wichtig ist

Die Entdeckung und Notfallbehebung einer universellen, nicht authentifizierten Sicherheitslücke in PHP zur Remotecodeausführung stellt eines der schwerwiegendsten Sicherheitsereignisse in der Software-Lieferkette im Jahr 2026 dar. Da PHP als grundlegende Ausführungslaufzeit für Content-Management-Systeme wie WordPress, Drupal und Joomla sowie umfangreiche E-Commerce-Plattformen für Unternehmen und Regierungsportale dient, umfasst der potenzielle Explosionsradius Hunderte Millionen öffentlicher Web-Endpunkte.

Wenn in einer Software mit dieser globalen Marktdurchdringung eine Sicherheitslücke bezüglich der Remotecodeausführung aufgedeckt wird, veranlassen automatisierte Bedrohungsakteure und staatlich geförderte Spionagegruppen innerhalb weniger Stunden automatisierte, internetweite Scans. Angreifer erstellen massenhafte Ausnutzungsskripte, die darauf ausgelegt sind, IP-Bereiche zu scannen, bösartige Payloads einzuschleusen und nicht gepatchte Server zu gefährden, bevor Systemadministratoren Anbieter-Updates anwenden können. Einmal drinnen, können Bedrohungsakteure Web-Shells einsetzen, vertrauliche Datenbanken exfiltrieren oder dauerhafte Stützpunkte für laterales Vordringen in interne Unternehmensnetzwerke aufbauen.

Darüber hinaus unterstreicht der Vorfall den transformativen Einfluss künstlicher Intelligenz auf die Offensiv- und Defensiv-Schwachstellenerkennung. Während menschliche Codeprüfer diese spezifischen Speichergrenzenfehler über mehrere Release-Zyklen hinweg übersahen, identifizierten spezielle automatisierte Argumentationsmodelle die nichtlinearen Ausführungspfade, die innerhalb von Minuten zu einer Pufferbeschädigung führten. Da die KI-gestützte Entdeckung immer schneller wird, verkürzt sich das Zeitfenster zwischen der Entdeckung von Schwachstellen und deren Bereitstellung als Waffe drastisch.

## Technische Details

Auf technischer Ebene hat CVE-2026-109618 seinen Ursprung in einer Ganzzahlüberlauf-Schwachstelle, die tief in der standardmäßigen Multibyte-String-Verarbeitungsbibliothek von PHP verschachtelt ist. Beim Parsen speziell gestalteter UTF-8-Bytesequenzen, die in mehrteilige Formulardaten-Nutzlasten eingebettet sind, berücksichtigt die Speicherzuordnungsberechnung der Laufzeitumgebung die Grenzerweiterung während der Zeichenkonvertierung nicht. Diese arithmetische Diskrepanz führt dazu, dass der Speicherzuweiser einen Heap-Puffer bereitstellt, der deutlich kleiner ist als der erweiterte Zeichenstrom.

Während der Parser den dekodierten Bytestrom in den unterdimensionierten Puffer kopiert, überläuft er zusammenhängende Heap-Strukturen und beschädigt interne Speicherverwaltungszeiger der Zend Engine. Durch die sorgfältige Anordnung des Speicherlayouts mithilfe von Heap-Spraying-Techniken kann ein nicht authentifizierter Angreifer Funktionszeiger im Anforderungskontext überschreiben und den Ausführungskontrollfluss auf einen beliebigen Shell-Aufruf umleiten, wodurch eine vollständige Remotecodeausführung unter den Berechtigungen des Webserver-Daemons erreicht wird.

![Netzwerk-Switch-Architektur im Rechenzentrum, die eine schnelle Notfall-Patch-Einführung erfordert.](https://rkhynbcsbnkkcwgexzwg.supabase.co/storage/v1/object/public/media/api/1792605109965-iyprsg-php-project-issues-emergency-patches-for-critical-rce-flaws-2026-10-21-night-inside-2-331cba19fb.webp)
*Netzwerk-Switch-Architektur im Rechenzentrum, die eine schnelle Notfall-Patch-Einführung erfordert.*

Die zweite Schwachstelle, CVE-2026-109619, betrifft einen ergänzenden Logikfehler im Fastcgi-Prozessmanager von PHP. Unter Bedingungen eines hohen gleichzeitigen Anforderungsvolumens ermöglicht eine nicht behandelte Race-Bedingung beim Recycling von Arbeitsprozessen, dass fehlerhafte Umgebungsvariablen über sequentielle Anforderungsgrenzen hinweg bestehen bleiben, sodass Angreifer Standardfilter der Webanwendungs-Firewall umgehen und beliebige Argumente in externe Systembinärdateien einschleusen können.

Die von The PHP Group veröffentlichten offiziellen Upstream-Patches beheben beide Grundursachen, indem sie eine strikte Grenzenvalidierung während der Neucodierung von Multibyte-Strings erzwingen und atomare Sperrmechanismen innerhalb des Fastcgi-Worker-Lebenszyklus einführen. Das Entwicklungsteam hat die Sicherheitsfixes über die PHP 8.2-, 8.3- und 8.4-Release-Bäume hinweg zurückportiert und alle Benutzer aufgefordert, sofort auf die neuesten Patch-Iterationen zu aktualisieren.

## Auswirkungen auf Markt und Branche

Die Notfalloffenlegung hat zu weitreichenden Betriebsstörungen bei globalen Webhosting-Anbietern, Unternehmens-IT-Abteilungen und verwalteten Cloud-Plattformen geführt. Große Cloud-Infrastrukturbetreiber, darunter Amazon Web Services, Cloudflare und Akamai, beeilten sich, global verwaltete Web Application Firewall-Regeln einzuführen, um die spezifischen Bytesignaturen im Zusammenhang mit Heap-Overflow-Ausnutzungsversuchen zu erkennen und zu löschen, bevor der Datenverkehr die Ursprungsserver erreicht.

Für DevOps- und Site-Reliability-Engineering-Teams in Unternehmen erfordern die Patches dringende Wartungsfenster, Dienstneustarts und Regressionstests für geschäftskritische Webanwendungen. Unternehmen, die angepasste Legacy-PHP-Laufzeiten verwenden, die nicht einfach aktualisiert werden können, sind einem akuten Betriebsrisiko ausgesetzt, das sie dazu zwingt, restriktive Eingangsfilterung zu implementieren oder anfällige Anwendungen vorübergehend vom öffentlichen Internet zu isolieren.

## Worauf man als Nächstes achten sollte

In den kommenden Tagen werden Bedrohungsanalyseteams für Cybersicherheit öffentliche Exploit-Repositorys und Untergrundforen genau auf das Auftauchen bewaffneter Proof-of-Concept-Exploit-Skripte überwachen. Das Auftauchen zuverlässiger öffentlicher Exploits löst in der Regel massive automatisierte Botnet-Ausnutzungskampagnen aus, die auf anfällige Webhosts abzielen.

Sicherheitsforscher werden auch auf die Entdeckung sekundärer Schwachstellen achten, da globale Codeprüfer benachbarte Komponenten innerhalb der PHP-Standardbibliothek auf ähnliche Anomalien beim Multibyte-Parsing und der Heap-Zuordnung untersuchen.

Schließlich werden die Governance-Gremien für Unternehmenssoftware die wachsende Rolle autonomer KI-Prüftools für die Sicherheit von Open-Source-Software bewerten und die Diskussionen über standardisierte automatisierte Scan-Pipelines beschleunigen, um Architekturfehler in grundlegenden Open-Source-Paketen vor der Bereitstellung zu identifizieren und zu beheben.

## Quellen

- [The PHP Group Sicherheitshinweis](https://www.php.net/archive/2026.php#2026-10-21-1): Offizielle Upstream-Release-Beratung für PHP-Versionen mit Patches für Speicherbeschädigung und Zeigervalidierungsfehler.
- [Cybersecurity Dive Security Alert](https://www.cybersecuritydive.com/news/php-critical-rce-vulnerabilities-emergency-patches-cve-2026-109618/728910/): Technischer Hinweis mit detaillierten Angaben zu den CVSS-Schweregradbewertungen und der Angriffsfläche auf allen PHP-Webservern.
- [Technischer Schreibtisch der Hindustan Times](https://www.hindustantimes.com/technology/critical-php-security-flaw-cve-2026-109618-patches-released-2026-10-21): Weltweite Berichterstattung über Notfallwarnungen staatlicher Cybersicherheitsbehörden, in denen Webbetreiber aufgefordert werden, sofort zu aktualisieren.

Mentions: The PHP Group, CVE-2026-109618, CVE-2026-109619, CISA

## Sources
- [The PHP Group Sicherheitshinweis](https://www.php.net/archive/2026.php#2026-10-21-1)
- [Cybersecurity Dive Security Alert](https://www.cybersecuritydive.com/news/php-critical-rce-vulnerabilities-emergency-patches-cve-2026-109618/728910/)
- [Technischer Schreibtisch der Hindustan Times](https://www.hindustantimes.com/technology/critical-php-security-flaw-cve-2026-109618-patches-released-2026-10-21)