CVE-2026-109619: PHP-Sicherheitslücke bei veralteten internen Anfragezuständen

Huntress beschreibt CVE-2026-109619 als eine Remote-Code-Execution-Sicherheitslücke, die dadurch verursacht wird, dass PHP anfragespezifische Zustände beibehält, nachdem der zugrunde liegende Speicher freigegeben wurde[2]. Laut Huntress kann PHP diesen veralteten Zustand möglicherweise aufrufen, bevor die normale Initialisierung ihn zurückgesetzt, wenn derselbe Worker eine spätere Anfrage verarbeitet.[2]Rapid7 meldet, dass beide Schwachstellen eine CVSSv4-Bewertung von 9,2 haben[3]. Darüber hinaus berichtet das Unternehmen, dass alle Installationen, die Webanfragen bedienen, gefährdet sind, einschließlich PHP-FPM, Apache mod_php, php-cgi, FrankenPHP und LiteSpeed.[3]Laut Huntress sind Details der beiden Sicherheitslücken online durchgesickert, bevor ihre koordinierte Offenlegung und bevor Patches veröffentlicht wurden[2] am 20. Oktober. Nach Angaben von Huntress veröffentlichte das PHP-Team am 21. Oktober PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35[2]. Google Cloud berichtet, dass das PHP-Projekt keine Fixes für PHP 8.1 oder früher veröffentlicht, die das Ende ihrer Lebensdauer erreicht haben.[4] Rapid7 berichtet jedoch, dass PHP für diesen Incident begrenzte Source-Backports für PHP 7.4, 8.0 und 8.1 bereitgestellt hat.[3]Rapid7 sagt, dass mehrere öffentliche Proof-of-Concept-Exploits (PoC)[3] nun existieren, aber dass keiner davon zuverlässig funktioniert.[3]Palo Alto Networks' Unit 42 teilt mit, dass Cortex Xpanse über 22,6 Millionen exposed Instanzen gefunden hat, die möglicherweise anfällig[5] für die beiden Schwachstellen sind. Die CISA sagt, dass Organisationen, die keinen Patch durchführen können oder die immer noch PHP 8.1 oder älter verwenden, PHP-basierte Systeme offline nehmen sollten, bis sie gepatcht oder aktualisiert werden können.[1]