In PHP, das als Rückgrat des Internets bezeichnet wird, wurden 2 kritische Sicherheitslücken entdeckt. In der Programmiersprache PHP, die auf 70 Prozent der Websites zum Einsatz kommt, wurden zwei weitere kritische Sicherheitslücken entdeckt, und das PHP-Entwicklungsteam teilte mit einer Ankündigung am 20. Oktober mit, dass Notfall-Patches veröffentlicht wurden, die die Lücken schließen. Das Team veröffentlichte die Notfall-Patches.
Die Lücken erhielten im System CVSS v4.0 eine Bewertung von 9,2 von 10 Punkten, während das Cybersicherheitsunternehmen watchTowr die Gefahr mit 10 von 10 bewertete. Technische Details und die betroffenen Versionsbereiche sind noch nicht vollständig bekannt gegeben worden. Forscher entdeckten die Lücken mithilfe des Modells GPT-5.6 Sol von OpenAI; auch das zu Google gehörende Unternehmen Wiz bestätigte den Befund unabhängig mit eigenen KI-Tools.
Es wird behauptet, dass die mit den Kennungen CVE-2026-109618 und CVE-2026-109619 versehenen Lücken die Ausführung von Code aus der Ferne ermöglichen, und in einem Video zu dem Exploit-Tool namens „PHP2Shell” wird behauptet, dass Code auf den folgenden Plattformen ausgeführt werden konnte. Die genannten Plattformen lauten: – WordPress 7.1.3 – MediaWiki 1.46.2 – phpBB 3.3.17 – Magento 2.4.9 – Joomla 6.2.0 – Laravel 13.36.0 – Symfony 8.1.9 – Drupal 11.4.10 – WHMCS 9.0.9
watchTowr gab bekannt, mindestens eine der Lücken in einer Laborumgebung reproduziert zu haben. Das Sicherheitsunternehmen Sansec warnte hingegen davor, dass die erste groß angelegte Angriffswelle innerhalb von 15 Minuten nach den Patches beginnen könnte.
Begriff: Patch
Ein Patch ist eine Aktualisierung, die einen Fehler oder eine Sicherheitslücke in einer Software schließt.