Kritische PHP-Schwachstellen bedrohen weitreichende Website-Ausnutzung

Weltweit sind Websites heute gefährdet, da zwei kritische Schwachstellen in der PHP-Programmiersprache offengelegt wurden. Experten warnen vor aktiver Ausnutzung und potenziellen weitreichenden Ausfällen. Schätzungen zufolge müssen fast 70 Prozent der Websites Software-Updates durchführen, um diese Fehler zu beheben, die es Angreifern ermöglichen könnten, die volle Kontrolle über betroffene Server zu übernehmen. Die Schwachstellen, verfolgt als CVE-2026-109618 und CVE-2026-109619, betreffen alle Webserver, auf denen PHP 5.4 oder neuer läuft.

Details

PHP hat ein dringendes Sicherheitsupdate veröffentlicht, um die beiden kritischen Fehler zu beheben. Diese Fehler ermöglichen es Angreifern, beliebigen Code auf anfälligen Servern auszuführen, was zu potenziellen Denial-of-Service-Bedingungen, Remote-Code-Ausführung und Datenoffenlegung führen kann. Das Sicherheitsunternehmen Wiz, das maßgeblich an der Entdeckung der Schwachstellen beteiligt war, gab an, dass jede PHP-Version, die in den letzten zehn Jahren veröffentlicht wurde, von mindestens einem dieser Probleme betroffen ist. Die Fehler sind in den PHP-Versionen 8.5.12, 8.4.27, 8.3.36 und 8.2.35 behoben.

Kontext

Die Programmiersprache PHP treibt eine Vielzahl beliebter Web-Publishing-Systeme an, darunter Drupal, Magento, Joomla und WordPress. Reuters berichtete, dass Regierungswebsites in Europa und anderswo nach der Offenlegung der Schwachstellen Ausfallzeiten erlitten. Cloudflare bestätigte, dass es Ausnutzungsversuche erkannt und Web Application Firewall-Regeln zur Abmilderung von Angriffen implementiert hat. OpenAI, das an der Schwachstellenforschung beteiligt war, bezeichnete die Situation aufgrund der allgegenwärtigen Nutzung von PHP als "eines der wirkungsvollsten Sicherheitsprobleme der jüngeren Geschichte". Censys schätzt, dass etwa 2,58 Millionen internetfähige Hosts und 54,9 Millionen Web-Eigenschaften PHP nutzen.

Auswirkungen

Sicherheitsexperten von Wiz warnen, dass diese Schwachstellen wahrscheinlich massenhaft ausgenutzt werden, um webbasierte Backdoors zu installieren, die oft als "Web-Shells" bezeichnet werden und Angreifern die Fernsteuerung über kompromittierte Websites ermöglichen. Die Forscher stellten fest, dass die zugrunde liegenden Fehler seit Jahrzehnten bestanden, aber eine komplexe Kette von Schritten zur Ausnutzung erforderten, bis jüngste Fortschritte, einschließlich KI-Modelle, sie zugänglicher machten. Die tiefe Integration von PHP im Internet bedeutet, dass Organisationen wahrscheinlich erhebliche Herausforderungen bei der Behebung dieser Schwachstellen haben werden, eine Situation, die mit den weitreichenden Auswirkungen der Log4Shell-Schwachstelle im Jahr 2021 verglichen wird. "Eine Schwachstelle im Kern von PHP reicht weit über eine einzelne Anwendung hinaus", betonten die Wiz-Forscher und hoben ihre Präsenz in Clouds, bei Hosting-Anbietern und auf zahlreichen unabhängigen Servern hervor.

Was kommt als Nächstes

Das SANS Internet Storm Center überwacht wichtige Softwareplattformen, während diese Updates zur Behebung dieser PHP-Fehler veröffentlichen. Betriebssysteme wie Ubuntu liefern bereits aktualisierte Pakete aus. Unternehmen wie Calif haben ebenfalls detaillierte technische Ausarbeitungen zur Entdeckungszeitachse dieser Fehler veröffentlicht. Angesichts der Schwere und der weitreichenden Natur der Schwachstellen werden sich die fortlaufenden Bemühungen auf die schnelle Bereitstellung von Patches und die Überwachung weiterer Ausnutzung konzentrieren.