PHP-Sicherheitsteam veröffentlicht einen Sicherheitshinweis, in dem es auf die Veröffentlichung von Notfall-Fixes für diesen Mittwoch, den 21. Oktober, um 14:00 Uhr hinweist. UTC (16:00 Uhr Pariser Zeit). Durch dieses schnelle Eingreifen dürfte es möglich sein, zwei kritische Schwachstellen zu schließendie jeweils einen Schweregrad von 9,2 auf CVSS v4.0 erhalten.

“ Wir behalten uns das Recht vor, früher zu veröffentlichen, wenn Einzelheiten zu Schwachstellen öffentlich werden oder Hinweise auf eine aktive Ausnutzung offenkundig werden. „

Informationsleck beschleunigt Patch-Veröffentlichung

Ankündigung nach Informationsleck eilig. Alles begann mit einem Beitrag im Hacker News-Forum, in dem ein Benutzer behauptete, dass am 22. Oktober zwei kritische Schwachstellen bei der Remotecodeausführung in PHP mit einem CVSS-Score von 10 offengelegt würden.

“ Wir sollten alle bis Donnerstag 11 Uhr ET warten (Anmerkung der Redaktion: 17 Uhr Pariser Zeit). Es sind Informationen über RCE-Zero-Day-Schwachstellen in PHP durchgesickert, die mit einem Embargo belegt sind. Wir können bestätigen, dass sie echt sind „schrieb das Cybersicherheitsunternehmen watchTowr auf X.

Diese Bestätigung sorgte für Aufsehen, auch wenn weiterhin Diskrepanzen zwischen den durchgesickerten Informationen und der offiziellen Ankündigung von PHP bestehen.

Welche Systeme sind betroffen?

Wenn die technischen Details werden immer noch geheim gehalten, watchTowr-Forscher identifizierten die Schwachstellen als CVE-2026-109618 und CVE-2026-109619. Es handelt sich also um RCE-Schwachstellen (Remote Code Execution), die möglicherweise eine Vielzahl von Versionen betreffen, von PHP 5 bis PHP 8.

Die Auswirkungen wären immens, da PHP die Basis vieler Websites ist und Webanwendungen, darunter beliebte CMS wie WordPress, Joomla, Drupal oder Magento.

Sicherheitsexperten gehen davon aus, dass bereits wenige Minuten nach der Veröffentlichung der Patches Massenangriffe beginnen. Allerdings erhalten nur die derzeit unterstützten Zweige von PHP ein Update. Millionen von Websites, die ältere Versionen verwenden, bleiben ungepatcht.

Notfallvorbereitung für Administratoren

Die nächsten Stunden werden von entscheidender Bedeutung sein und Administratoren müssen sich vorbereiten, indem sie alle verwendeten PHP-Instanzen identifizieren, um Sicherheitspatches anzuwenden, sobald diese verfügbar sind.

Für Systeme, die nicht schnell aktualisiert werden können, empfiehlt es sich, Anwendungen mit Internetzugang in öffentlichen Netzwerken zu isolieren, bis eine Lösung gefunden wird.