Palo Alto Networks: Prisma Access und SD-WAN ION von Remotecodeausführung durch Speichermangel in PHP betroffen (CVE-2026-109618)

Was passiert ist

PHP verwendet longjmp(), um den aktuellen Kontext zu beenden, wenn ein Speichermangel-Fehler auftritt. Manche Kontexte berücksichtigen dies nicht korrekt und lassen den Speicher der Anfrage vor einer späteren Zuweisung uninitialisiert. Bei der nächsten Bereinigung der Anfrage kann PHP diesen uninitialisierten Speicher lesen oder darauf basierend verzweigen. Mehrere Strategien für den Umgang mit Speichermangel können dies reproduzierbar auslösen und so zu Remotecodeausführung führen.

Der CVSS-4.0-Vektor bewertet die Schwachstelle mit 9,2: Sie ist über das Netzwerk erreichbar, erfordert keine Berechtigungen und keine Nutzerinteraktion, weist jedoch eine hohe Angriffskomplexität auf und setzt bestimmte Bedingungen voraus. CISA hat CVE-2026-109618 am 26. Oktober 2026 in den KEV-Katalog aufgenommen; die Frist endet am 29. Oktober 2026, und im KEV-Katalog wird die Schwachstelle als ausgenutzt geführt. Palo Alto Networks hat mitgeteilt, dass dem Unternehmen keine böswillige Ausnutzung dieser Schwachstelle gegen seine Produkte bekannt ist.

Der Sicherheitshinweis von Palo Alto Networks behandelt außerdem eine verwandte PHP-Schwachstelle durch veralteten globalen Zustand, CVE-2026-109619; diese Seite konzentriert sich auf CVE-2026-109618.

Wer betroffen ist

Die zugrunde liegende PHP-Schwachstelle betrifft PHP 8.2.* vor 8.2.35, 8.3.* vor 8.3.36, 8.4.* vor 8.4.27 und 8.5.* vor 8.5.12. Innerhalb der Produktlinie von Palo Alto Networks hat der Hersteller korrigierte Releases für Prisma Access, Prisma Access Agent und Prisma SD-WAN ION veröffentlicht. Wenn Ihre Bereitstellung auf einem dieser Produktzweige einen älteren Build einsetzt, behandeln Sie sie als betroffen und nutzen Sie die unten aufgeführten korrigierten Versionen.

Was jetzt zu tun ist

1. Spielen Sie die korrigierten Releases des Herstellers ein. Prisma Access: 11.2.10-h16 oder neuer. Prisma Access Agent: 11.1.4-h38, 11.1.6-h40, 11.1.10-h36, 11.1.13-h16 oder 11.1.16-h4. Prisma SD-WAN ION: 10.2.13-h27, 10.2.16-h12 oder 10.2.18-h13. Für allgemeine PHP-Bereitstellungen aktualisieren Sie auf PHP 8.2.35, 8.3.36, 8.4.27 oder 8.5.12.
2. Falls die Sicherheitspatches stufenweise eingespielt werden müssen, nutzen Sie die Bedrohungsabdeckung des Herstellers. Aktualisieren Sie die Inhalte „Applications and Threats“ auf 9162, 9163, 9164 oder neuer und aktivieren Sie die im Sicherheitshinweis von Palo Alto Networks aufgeführten Threat-Prevention-Signaturen. Kunden mit Frontier Virtual Patching unter PAN-OS 12.2.4 und neuer erhielten Vorababdeckung durch die Threat-ID 543004.
3. Halten Sie die KEV-Frist der CISA bis zum 29. Oktober 2026 ein. Der KEV-Eintrag verlangt, Sicherheitsmaßnahmen gemäß den Anweisungen des Herstellers umzusetzen und die CISA-Vorgaben BOD 26-04 zur Priorisierung und forensischen Triage zu befolgen.

Wie man es erkennt

Für Bereitstellungen von Palo Alto Networks ist die Erkennung über die Threat-Prevention-Signaturen des Herstellers verfügbar. Stellen Sie sicher, dass die Version der Inhalte von „Applications and Threats“ aktuell ist und die relevanten Threat-IDs aktiv sind. Der Sicherheitshinweis des Herstellers nennt keine hostbasierten Kompromittierungsindikatoren, und der KEV-Eintrag enthält keine spezifischen IOCs.

Über den Patch hinaus

Da die CISA diese Schwachstelle im KEV-Katalog als ausgenutzt führt, sind Erkennung und Reaktion die erste Verteidigungslinie, während die korrigierten Builds ausgerollt werden. Unser Managed Detection and Response (MDR) und unser Incident-Response-Retainer stellen diese Kapazität bereit. Da die Schwachstelle ohne Zugangsdaten über das Netzwerk erreichbar ist, kann Virtual CISO Services (vCISO) die externe Erreichbarkeit betroffener Prisma-Access- und SD-WAN-ION-Elemente prüfen, bevor das Einspielen der Patches abgeschlossen ist.