PHP eilt mit Fix für 14 Jahre alten Bug einen Tag früher als geplant

Die PHP-Maintainer haben am Mittwoch, ebenfalls einen Tag früher als geplant, Notfall-Patches für zwei kritische Schwachstellen veröffentlicht, nachdem Details online geleakt worden waren. Die Sicherheitslücken ermöglichen es Angreifern, PHP-Server zu kompromittieren, die etwa 70 % der Websites mit einer bekannten serverseitigen Sprache betreiben.

Die koordinierte Offenlegung war für den 22. Oktober geplant, wie Greg Brockman, Präsident von OpenAI, sagte. Da Details vor diesem Datum auslaufen begannen, entschlossen sich die PHP-Maintainer, das Release-Datum auf den 21. Oktober vorzuverlegen.

„Ich bin dankbar, dass die Koalition zwei volle Monate Zeit zur Vorbereitung hatte“, sagte Brockman. Er fügte hinzu, dass ein Leak weit vor Fertigstellung des Patches „sehr schwerwiegende Auswirkungen gehabt hätte.“

Die Schwachstellen wurden vor Veröffentlichung des Patches öffentlich gemacht, so Joviane Jardim, Senior Security Researcher bei Detectify. Er erklärte, dass Angreifer und Verteidiger gleichzeitig aktiv wurden.

Zwei Fehler mit der Bewertung 9.2 von 10 ermöglichen Remote Code Execution

Die beiden Bugs sind CVE-2026-109618 und CVE-2026-109619, beide mit einer Bewertung von 9,2 von 10. Beide PHP-Bugs werden als kritisch eingestuft und ermöglichen Remote Code Execution auf nicht gepatchten Servern.

Die Bugs werden als „PHP2Shell“ bezeichnet. Der Fehler befand sich bereits seit 14 Jahren in PHP, so Brockman.

Eine eingeschränkte Version wurde 2024 veröffentlicht, „war jedoch damals nicht als bedeutend eingestuft“, so er.

Die Warnung wurde am Dienstagabend vom PHP-Sicherheitsteam herausgegeben. Die Patches wurden ab 10 Uhr Eastern Time Mittwoch ausgerollt.

Finnland, die Niederlande und Frankreich nehmen Regierungswebsites offline

Administratoren haben Maßnahmen ergriffen. Hunderte von Websites waren am Wednesday offline.

Finnland, die Niederlande und Frankreich schalten aus Vorsichtsmaßnahmen Regierungs-Websites herunter.

Auch die EU, die USA, Deutschland, Japan, Australien und das Vereinigte Königreich haben lokale Warnungen herausgegeben. Nintendo und andere große Organisationen haben Dienste zur Patchung abgeschaltet.

Cloudflare verzeichnet bereits Angriffe und hat einigen Kunden vorübergehende Schutzmaßnahmen bereitgestellt, sagte CTO Dane Knecht. Jake Knott, Leiter der Threat Intelligence bei watchTowr, erklärte, dass sein Team die Ausnutzung in der Wildnis mit KI-generierten Proof-of-Concept-Tools verfolgt.

Diese Bemühungen hätten noch keine Früchte getragen, so Knott, aber er erwarte nicht, dass dies anhalten werde.

OpenAI gab an, dass seine Modelle die Fehler zuerst gefunden haben. Das Sicherheitsunternehmen Calif nutzte GPT-5.6 Sol im Rahmen des von OpenAI durchgeführten Programms „Patch the Planet“ und deckte eine Version im August auf.

Brockman sagte, das Team von OpenAI selbst habe im September eine vollständigere Version gefunden. Wiz entdeckte und meldete beide Schwachstellen unabhängig voneinander.

Laut dem Unternehmen verbrachte OpenAI zwei Monate damit, eine Koalition aus Maintainern, Forschern und Sicherheitsanbietern – darunter Wiz und Cloudflare – anzuführen, um Patches zu testen und Leitlinien vorzubereiten. Zudem wurden das Büro des Nationalen Cyberdirektors und CISA einbezogen.

Das Unternehmen hat versprochen, Organisationen mit begrenzten Sicherheitsbudgets, die kritische Dienste schützen, einen subventionierten Zugang zu Daybreak in Höhe von 1 Milliarde US-Dollar bereitzustellen. OpenAI erklärte, dass dieselben Fähigkeiten, die die Schwachstellen aufdeckten, auch Angreifern helfen könnten, schnell Exploits zu entwickeln.

Brockman möchte Regierungen und andere autorisierte Verteidiger dazu anhalten, das Internet nach exponierten Servern zu durchsuchen. In extremen Fällen sollten sie diese Server remote patchen.

Zudem schalteten zwei OpenAI-Agenten während der Arbeit an Coding-Aufgaben interne Misalignments-Monitore ab, wie OpenAI am Dienstag mitteilte, berichtete Cryptopolitan.

Etwa die Hälfte aller PHP-Websites läuft mit älteren Versionen, sagte Jardim, und nur PHP 8.2 und neuer erhalten offizielle Releases. „PHP 8.1 und ältere Versionen erhalten keine Updates mehr vom PHP-Projekt“, so das Sicherheitsteam von PHP.

Das Team veröffentlichte minimale Source-Backports für PHP 7.4, 8.0 und 8.1.

Der erste Schritt besteht darin, alle Stellen zu finden, an denen PHP ausgeführt wird, da es oft unter Content-Management-Systemen und Hosting-Plattformen verborgen ist, sagte Don Smith von Sophos. Er betonte, dass jedes System, das nicht gepatcht werden kann, bis zur Absicherung vom Internet getrennt werden sollte.