CVE-2026-109618: PHP-Speicherbeschädigungssicherheitslücke

Laut Rapid7 kündigte das PHP-Projekt am 21. Oktober 2026 Sicherheitsreleases für zwei kritische Sicherheitslücken in PHP an[3]. Rapid7 berichtet, dass CVE-2026-109618 den Speicher während der Behandlung von Speichermangel (OOM) beschädigen kann[3], und dass beide Fehler einen CVSSv4-Score von 9,2 haben[3].watchTowr berichtet, dass Details wurden vor dem geplanten Offenlegungsdatum vom 22. Oktober in sozialen Medien durchgesickert[1]. Nach Angaben von Sansec meldete Cloudflare frühe Angriffe um 07:43 UTC am 21. Oktober, vor der 14:00-UTC-Veröffentlichung.[2]Die PHP Group sagt laut Plesk, dass sie das Risiko für mod_php als am höchsten einstuft, mit einem demonstrierten Exploit, bei dem eine unauthentifizierte Anfrage den Angriff auslösen kann, bevor ein Anwendungscode ausgeführt wird.[4] Sansec sagt PHPs Upload-Progress-Handler kann freigegebenen Worker-Speicher an den Client in einem PHPSESSID-Response-Cookie zurückgeben.[2]Rapid7 sagt, dass die öffentlichen Proof-of-Concept-Exploits jeweils nur gegen bestimmte Setups funktionieren, und dass "keiner von ihnen zuverlässig breit funktioniert zu funktionieren scheint."[3] Sansec berichtet, dass die öffentlichen Exploits nicht gegen eine Standard-PHP-Installation funktionieren.[2]Nach Angaben von AWS ist ein sofortiger Upgrade auf ein gepatchtes PHP-Release die einzige vollständige Lösung: 8.5.12, 8.4.27, 8.3.36 oder 8.2.35.[5] Rapid7 berichtet, dass PHP begrenzte Source-Backports für PHP 7.4, 8.0 und 8.1 bereitgestellt hat.[3]Palo Alto Networks' Cortex Xpanse sagt, dass es über 22,6 Millionen exponierte möglicherweise anfällige Instanzen gefunden hat[6]. watchTowr berichtete, dass die CISA am 22. Oktober 2026 weder CVE zu ihrem Katalog der bekannten ausgebeuteten Sicherheitslücken hinzugefügt hat.[1]