CVE-2026-109618 · GHSA-w8hw-w9fx-j79w
CVE-2026-109618: Remote-Code-Ausführung in PHP durch Out-of-Memory-Korruption
Das PHP-Sicherheitsteam beschreibt CVE-2026-109618 als kritische Schwachstelle im PHP-Kern: Die Out-of-Memory-Behandlung kann PHP unterbrechen, während interne Anfragedaten nur teilweise initialisiert sind, und das anschließende Aufräumen kann diese ungültigen Daten als gültig behandeln. Das Team bewertet sie mit CVSS v4.0 9.2 und sagt, nur ein Update sei eine vollständige Abhilfe.
Zuletzt aktualisiert
| Feld | Angabe der zitierten Quellen |
|---|---|
| CVE | CVE-2026-109618 |
| GitHub-Advisory | GHSA-w8hw-w9fx-j79w |
| Schweregrad | Kritisch. CVSS v4.0 Basiswert 9.2, angegeben von Jakub Zelenka auf oss-security für das PHP-Sicherheitsteam. |
| NVD-Wert | CVSS v3.1 9.8 Kritisch (AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H), Primary-Wert der NVD, am 22. Oktober 2026 über die NVD-API abgerufen. |
| Vektor | AV:N/AC:H/AT:P/PR:N/UI:N/VC:H/VI:H/VA:H laut Advisory der University of Toronto. Die gesichtete oss-security-Meldung nennt den Wert 9.2, nicht diesen Vektor. |
| Fix-Releases | 8.2.35, 8.3.36, 8.4.27, 8.5.12 und spätere Releases dieser Zweige. |
| CWE | Das Canadian Centre for Cyber Security ordnet beide PHP2Shell-CVEs als Use-after-free (CWE-416) ein. Das PHP-Projekt selbst nennt diese CVE Out-of-Memory-Korruption; diese Bezeichnung verwenden wir. |
Was schiefgeht, auf dem Niveau der Herstellerangaben
Auf oss-security schrieb Jakub Zelenka, PHP breche die Anfrageverarbeitung bei Out-of-Memory-Fehlern per longjmp() ab; ein fehlgeschlagener Speicherabruf könne die Initialisierung unterbrechen, während unvollständiger Anfragezustand bereits erreichbar ist, und das Herunterfahren der Anfrage könne dann auf diesen ungültigen Zustand zugreifen und so möglicherweise Remote-Code-Ausführung erlauben. Die Darstellung der PHP Foundation stimmt damit überein: Erreichte eine Anfrage memory_limit im falschen Moment, konnten teilweise initialisierte Daten zurückbleiben und später als gültig gelten.
Mehr als diese Mechanik veröffentlichen wir nicht. Wie man den Speicherfehler erzwingt, beschreiben wir nicht.
Was demonstriert wurde
- oss-security: Remote-Code-Ausführung ohne Authentifizierung wurde über HTTP gegen Apache mod_php demonstriert, bevor Anwendungscode läuft. Die Quellcodeanalyse deutet auch auf Anfälligkeit von FPM hin, ein vollständiger FPM-Exploit wurde jedoch nicht demonstriert.
- PHP Foundation: Vollständige Remote-Code-Ausführung wurde auf Apache mod_php mit Standardeinstellungen demonstriert, bevor Anwendungscode läuft. Auf PHP-FPM sei RCE über Codepfade auf Anwendungsebene bestätigt worden.
- Expel, unter Berufung auf PHP: Die mod_php-Demonstration für diese CVE funktionierte mit den Standardlimits von PHP für Eingabe und Speicher.
- Das Advisory der University of Toronto sagt, Angreifer könnten den Zustand mit präparierten Multipart-Anfragen innerhalb der scheinbaren PHP-Limits erzwingen. Wir bauen diesen Satz nicht zu einer Anleitung aus.
Auswirkung
Eine erfolgreiche Ausnutzung bedeutet Remote-Code-Ausführung ohne Authentifizierung mit den Rechten des Betriebssystemkontos des PHP-Workers. Wiz und Cloudflare nennen außerdem Abstürze und die Offenlegung von Prozessspeicher. Die Reichweite hängt von Build, Erweiterungen und Serveraufbau ab; laut University of Toronto schwankt die Zuverlässigkeit, PHP habe vollständige RCE validiert. Eine verlässliche Aussage „funktioniert überall“ gibt es in den geprüften Quellen nicht – und keinen Grund, mit dem Patchen darauf zu warten.
Behebung
Aktualisieren Sie auf 8.2.35, 8.3.36, 8.4.27 oder 8.5.12 oder neuer und starten Sie die Worker neu, die Verkehr bedienen. Laut oss-security ist das Update die einzige vollständige Abhilfe. Vorläufige Einstellungen von PHP, darunter memory_limit=-1 und ein niedriges post_max_size, sind unvollständig: Auch ohne steuerbares Speicherlimit könne ein zugrunde liegender Speicherfehler den verwundbaren Pfad erreichen. Laut Tanium wurde der NVD-Eintrag am 21. Oktober 2026 veröffentlicht und als „Undergoing Analysis“ markiert. Nutzen Sie den PHP-Hinweis als operative Quelle, solange die NVD nachzieht.
Quellen
Externe Links verlassen diese Website. Wir hosten keinen Exploit-Code.
- News archive 2026: security advisory, 21 October 2026 — PHP project (php.net)
- Today’s PHP security release, and how we’re strengthening PHP security — The PHP Foundation
- CVE-2026-109618: PHP 8.2–8.5 RCE via OOM corruption — oss-security (Jakub Zelenka, PHP security team)
- GHSA-w8hw-w9fx-j79w — CVE-2026-109618 — PHP (GitHub Security Advisory)
- Security advisory: critical unauthenticated RCE in PHP (“php2shell”) — University of Toronto Information Security
- Notice: php2shell, critical PHP vulnerabilities (status as of 21 October 2026, 20:00 UTC) — Expel
- Critical vulnerabilities in PHP require immediate patching (21 October 2026) — CISA
- Responding to core PHP vulnerabilities CVE-2026-109618 and CVE-2026-109619 — Google Cloud
- CVE-2026-109618 — NVD
- PHP2Shell: AI uncovers critical RCE vulnerabilities affecting 70% of the Internet — Wiz Research