PHP: Remotecodeausführung durch veralteten globalen Zustand (CVE-2026-109619)

Was passiert ist

Der CVE-Eintrag beschreibt eine Bedingung mit veraltetem globalem Zustand, bei der der globale Zustand vorübergehend auf den Speicher der aktuellen Anforderung zeigt. In einigen Szenarien wird dieser Zustand nicht korrekt zurückgesetzt oder nach dem Zurücksetzen erneut befüllt und kann weiterhin auf den Anforderungsspeicher verweisen, nachdem dieser freigegeben wurde. Nachfolgende Anforderungen können diesen veralteten Zustand lesen oder auf seiner Grundlage Verzweigungen ausführen, bevor er vollständig initialisiert ist. Verschiedene Vorgehensweisen können die Bedingung auslösen und Remotecodeausführung ermöglichen.

Der CVSS-4.0-Wert beträgt 9,2 (kritisch). Der Angriffsvektor liegt im Netzwerk, es sind keine Berechtigungen und keine Benutzerinteraktion erforderlich; die Angriffskomplexität wird als hoch eingestuft. Die CISA hat die Schwachstelle am 26. Oktober 2026 in ihren KEV-Katalog aufgenommen und führt sie dort als ausgenutzt. Die Frist der CISA für die nach BOD 26-04 geforderten Maßnahmen endet am 29. Oktober 2026.

Wer betroffen ist

PHP ist in vier Release-Linien betroffen: 8.2.* vor 8.2.35, 8.3.* vor 8.3.36, 8.4.* vor 8.4.27 und 8.5.* vor 8.5.12. Installationen, die diese Versionen für Webanwendungen, APIs oder Kommandozeilen-Werkzeuge einsetzen, können betroffen sein. Die Schwachstelle liegt in PHP selbst und nicht in einer bestimmten Anwendung oder einem bestimmten Framework; die tatsächliche Gefährdung hängt daher davon ab, wo anfällige PHP-Builds aus dem Netzwerk erreichbar sind.

Was jetzt zu tun ist

1. Aktualisieren Sie jede betroffene PHP-Installation auf die jeweils passende korrigierte Version: 8.2.35, 8.3.36, 8.4.27 oder 8.5.12.
2. Setzen Sie die im CISA-KEV-Katalog geforderte Maßnahme um: Befolgen Sie die Vorgaben der BOD 26-04 zur Priorisierung und forensischen Triage und stellen Sie die Nutzung des Produkts ein, wenn keine Schutzmaßnahmen verfügbar sind.
3. Ermitteln Sie aus dem Internet erreichbare Systeme, auf denen die betroffenen PHP-Versionen laufen, und schränken Sie den Netzwerkzugriff ein, bis die Sicherheitsupdates vollständig eingespielt sind.

Die Frist der CISA endet am 29. Oktober 2026. Für die zugrunde liegende Schwachstelle ist keine gesonderte Problemumgehung angegeben.

Wie man es erkennt

Weder der CVE-Eintrag noch der CISA-KEV-Eintrag nennen vom Hersteller veröffentlichte Indikatoren für eine Kompromittierung. Beginnen Sie damit, aus dem Internet erreichbare Hosts zu ermitteln, auf denen die betroffenen PHP-Versionen laufen. Die von der CISA geforderte Maßnahme verlangt ausdrücklich, die Erreichbarkeit jedes einzelnen Systems aus dem Internet zu bewerten. Behandeln Sie jede betroffene PHP-Instanz, die Netzwerkverbindungen annimmt, als Priorität für das Einspielen der Sicherheitsupdates.

Über den Patch hinaus

Spielen Sie zuerst die Sicherheitsupdates ein und prüfen Sie anschließend, welche Systeme aus dem Internet erreichbar sind. Da diese Schwachstelle ohne Anmeldung über das Netzwerk erreichbar ist, sollten aus dem Internet erreichbare PHP-Systeme als Problem des Expositionsmanagements behandelt werden. Mit Virtual CISO Services unterstützen wir Sie dabei, zu erfassen, welche Systeme aus dem Internet erreichbar sind. Da die CISA die Schwachstelle im KEV-Katalog als ausgenutzt führt, sollten Erkennung und Reaktion über Managed Detection and Response (MDR) Teil Ihres Plans sein.