PHP-Sicherheitsupdates schließen zwei kritische RCE-Sicherheitslücken
PHP-Sicherheitsupdates sind für zwei kritische Sicherheitslücken verfügbar, durch die ein nicht authentifizierter Angreifer Code auf einem Webserver ausführen könnte. Das PHP-Projekt hat PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35 veröffentlicht, um CVE-2026-109618 und CVE-2026-109619 zu beheben, und empfiehlt dringend, die Aktualisierung sofort durchzuführen. PHP ist die Programmiersprache, die der Server zur Erstellung vieler Websites verwendet, darunter jede WordPress-Website.
Beide Sicherheitslücken können remote code execution ermöglichen. Das bedeutet, dass ein Angreifer den betroffenen Server dazu bringen könnte, vom Angreifer ausgewählten Code auszuführen. Nicht authentifiziert bedeutet, dass sich der Angreifer vorher nicht anmelden müsste. In einer am 20. Oktober veröffentlichten Vorabmitteilung bewertete das PHP-Sicherheitsteam beide Sicherheitslücken mit 9,2 nach CVSS v4.0, dem Common Vulnerability Scoring System zur Beschreibung des Schweregrads von Sicherheitslücken. Diese Bewertung liegt im kritischen Bereich.
Diese Sicherheitslücken befinden sich in PHP selbst, nicht im WordPress Core, in einem Plugin oder in einem Theme. Daher können die automatischen Updates von WordPress die erforderlichen Fehlerbehebungen nicht installieren. Die PHP-Installation auf dem Hosting-Server muss separat aktualisiert werden. Website-Betreiber sollten nicht davon ausgehen, dass eine vollständig aktualisierte WordPress-Verwaltungsoberfläche bedeutet, dass auch die zugrunde liegende PHP-Umgebung geschützt ist.
Laut der PHP-Sicherheitswarnung ist jede PHP-Installation gefährdet, die Webanfragen verarbeitet. Zu den betroffenen Betriebsarten von PHP gehören PHP-FPM, ein häufig zur Verarbeitung von PHP-Anfragen verwendeter Prozessmanager, Apache mit mod_php, php-cgi, FrankenPHP und LiteSpeed. Das PHP-Projekt hält die Gefahr bei mod_php für am größten. Es hat einen Exploit demonstriert, bei dem eine nicht authentifizierte Anfrage die Sicherheitslücke auslösen kann, bevor WordPress oder irgendein anderer Anwendungscode ausgeführt wird.
Die korrigierten Versionen sind PHP 8.5.12, PHP 8.4.27, PHP 8.3.36 und PHP 8.2.35. Websites auf dem PHP-8.5-Branch sollten auf 8.5.12 wechseln, Websites auf 8.4 auf 8.4.27, Websites auf 8.3 auf 8.3.36 und Websites auf 8.2 auf 8.2.35. Nach Angaben des PHP-Projekts erreicht PHP 8.2 am 31. Dezember 2026 das end of life. Danach erhält dieser Branch keine weiteren Sicherheitskorrekturen vom Projekt. PHP 8.1 und ältere Versionen liegen bereits außerhalb des Update-Supports des Projekts.
Einige Linux-Distributionen und Anbieter mit Langzeitunterstützung beziehungsweise LTS stellen möglicherweise backported fixes bereit. Ein backport passt eine Sicherheitskorrektur an eine ältere Softwareversion an, ohne diese auf die neueste Hauptversion zu aktualisieren. Deshalb kann eine von einer Distribution oder einem LTS-Anbieter bereitgestellte, korrigierte Installation weiterhin dieselbe PHP-Versionsnummer anzeigen. Administratoren müssen in diesem Fall die Sicherheitsmitteilung des Anbieters prüfen oder ihren Hosting-Anbieter um Bestätigung bitten, dass das betreffende Paket die Korrektur enthält. Das PHP-Sicherheitsteam hat außerdem minimale backports des Quellcodes für PHP 7.4, PHP 8.0 und PHP 8.1 veröffentlicht. Sie richten sich an Personen, die PHP aus dem Quellcode kompilieren oder keine Patches von einem LTS-Anbieter beziehen können.
WordPress-Benutzer können die gemeldete PHP-Version einsehen, indem sie Tools, Site Health, Info öffnen und anschließend im Dashboard den Abschnitt Server aufklappen. Wenn der Hosting-Anbieter PHP verwaltet, sollte als Nächstes dessen Support-Team kontaktiert oder dessen Statusseite geprüft werden. Dabei sollten Benutzer nachfragen, ob der Server eine der korrigierten Versionen oder einen passenden backport des Anbieters erhalten hat. Betreiber selbst verwalteter Server sollten zunächst ein Backup erstellen und anschließend die aktualisierten PHP-Pakete installieren, die von ihrer Linux-Distribution oder ihrem LTS-Anbieter bereitgestellt werden. Das PHP-Projekt gibt an, dass diese Anbieter die Patches vorab erhalten haben. Downloads des Quellcodes sowie Quellcodepakete und Binärdateien für Windows sind auf der offiziellen PHP-Downloadseite verfügbar.
Administratoren, die das von Freiwilligen gepflegte remirepo-Repository unter rpms.remirepo.net verwenden, sollten nach aktualisierten Paketen suchen. In der PHP-Sicherheitswarnung hieß es zunächst, dass das Repository am 21. Oktober keine Updates bereitstellen werde. Später teilte die PHP Foundation jedoch mit, dass der Betreiber des Repositorys aktualisierte Pakete signiere. Die Warnung empfiehlt remirepo-Benutzern weiterhin, zu Paketen ihrer Distribution zu wechseln oder PHP aus dem Quellcode zu kompilieren, damit Updates sofort eingespielt werden können.
Nach Angaben des PHP-Projekts ist ein Update die einzige vollständige Lösung. Die Sicherheitswarnung beschreibt vorübergehende Maßnahmen, die das Risiko bestimmter Angriffswege verringern können. Sie warnt jedoch ausdrücklich davor, dass diese Maßnahmen eine Installation nicht sicher machen. Wer den Patch nicht sofort installieren kann, sollte die genauen Anweisungen der Sicherheitswarnung befolgen, statt einen Workaround als dauerhafte Lösung zu betrachten.
Wordfence teilt mit, dass sein Threat-Intelligence-Team die Sicherheitslücken untersucht und bei Bedarf Updates veröffentlichen wird. Außerdem können Kunden von Wordfence Care während der Geschäftszeiten auf incident response zugreifen, während Wordfence Response rund um die Uhr an 365 Tagen im Jahr verfügbar ist und eine Reaktionszeit von einer Stunde bietet.
Website-Betreiber, die Unterstützung beim Schutz der Hosting-Ebene und von WordPress suchen, erhalten bei AEU Hosting vollständig verwaltetes und durchgängig abgesichertes WordPress-Hosting. Unabhängig davon, wer den Server verwaltet, sollten Betreiber eine ausdrückliche Bestätigung einholen, dass PHP gepatcht wurde, statt sich ausschließlich auf die in WordPress angezeigte Version zu verlassen.