"Dies ist keine Übung": Kritische PHP-Sicherheitslücken setzen das Internet in Brand
wired ·
Die PHP Foundation hat zwei kritische Sicherheitslücken, CVE-2026-109618 und CVE-2026-109619, bekanntgegeben, die alle seit Version 5 installierten PHP-Instanzen betreffen, die Webanfragen bedienen. Diese Schwachstellen ermöglichen es nicht authentifizierten Angreifern, Code auszuführen oder auf sensible Speicherbereiche zuzugreifen, die Passwörter und API-Schlüssel enthalten. Sicherheitsexperten warnen, dass der weit verbreitete Einsatz von PHP in wichtiger Infrastruktur wie WordPress und Magento diese Fehler besonders gefährlich macht. Erste Angriffe wurden bereits von Cloudflare vor der offiziellen Veröffentlichung eines Patches erkannt, was Befürchtungen hinsichtlich einer schnellen, wurmähnlichen Ausbreitung von Malware schürte. Infolgedessen gingen mehrere Regierungswebsites in Finnland, Frankreich und den Niederlanden vorsorglich offline. Das britische NCSC und andere Behörden haben Organisationen aufgefordert, Updates sofort zu installieren oder Systeme abzuschalten, falls noch keine Patches verfügbar sind. Forscher von Wiz, OpenAI und Calif haben zur Identifizierung dieser Probleme beigetragen, wobei einige Entdeckungen durch KI-Tools unterstützt wurden. Die Behörden betonen, dass das Aktualisieren die einzige sichere Maßnahme ist, da kein vollständiger Workaround für die aktuelle Bedrohungslage existiert.
wired