Verwandter Vorfall · OpenSSL-Advisories · Januar–September 2026
OpenSSL-Lücken mit hohem Schweregrad 2026 und was sie für PHP bedeuten
Die openssl- und curl-Erweiterungen von PHP rufen die System-OpenSSL-Bibliothek auf. Ein PHP-Update aktualisiert OpenSSL nicht.
Zuletzt aktualisiert
OpenSSL-Advisories mit hohem Schweregrad 2026
| CVE | Veröffentlicht | Problem | Behoben in |
|---|---|---|---|
| CVE-2025-15467 | 27.01.2026 | Stack-Pufferüberlauf beim Parsen von CMS (Auth)EnvelopedData; vor Authentifizierung; DoS oder möglicherweise RCE | 3.6.1, 3.5.5, 3.4.4, 3.3.6, 3.0.19 |
| CVE-2026-45447 | 09.06.2026 | Heap-Use-after-free in PKCS7_verify() bei präparierten PKCS#7-/S/MIME-Daten | 4.0.1, 3.6.3, 3.5.7, 3.4.6, 3.0.21 |
| CVE-2026-84782 | 29.09.2026 | Out-of-bounds-Lesen bei DTLS-Neuübertragung; Heap-Offenlegung oder Absturz | 4.0.3, 3.6.5, 3.5.9, 3.4.8 |
Welches OpenSSL nutzt mein PHP?
# Which OpenSSL is PHP linked against?
php -i | grep -i -E '^openssl|OpenSSL Library|OpenSSL Header'
openssl version
# Distribution packages often backport fixes without changing the upstream number:
apt-cache policy openssl libssl3 # Debian / Ubuntu
rpm -q openssl openssl-libs # RHEL familySo beheben Sie es
- OpenSSL-Pakete der Distribution (libssl3 / openssl-libs) aktualisieren und PHP-FPM, Apache und langlaufende Worker neu starten.
- Docker-Images auf einem aktuellen Basis-Image neu bauen.
- Bei Stacks mit eigenen OpenSSL-Bibliotheken den aktualisierten Build des Herstellers installieren.
FAQ
Behebt ein PHP-Upgrade OpenSSL-Fehler?
Meist nicht. Distributionspakete von PHP linken gegen die System-libssl, also aktualisieren Sie das OpenSSL-Paket. Builds mit eigenem OpenSSL brauchen einen neuen Build vom Hersteller.
Ist eine typische PHP-Website betroffen?
Das hängt vom Code ab. CVE-2025-15467 und CVE-2026-45447 betreffen das Parsen von CMS- oder PKCS#7-Nachrichten wie S/MIME, die PHP über Funktionen wie openssl_cms_decrypt() und openssl_pkcs7_verify() anbietet. Einen öffentlichen PHP-spezifischen Angriffsweg haben wir nicht gefunden; patchen Sie die Bibliothek trotzdem.
Meine Distribution zeigt eine alte Versionsnummer. Bin ich verwundbar?
Nicht unbedingt. Debian, Ubuntu und RHEL portieren Fixes zurück, ohne die Upstream-Nummer zu ändern; prüfen Sie den Security-Tracker Ihrer Distribution.
Quellen
Externe Links verlassen diese Website. Wir hosten keinen Exploit-Code.
- OpenSSL Security Advisory, 27 January 2026 (CVE-2025-15467) — OpenSSL
- OpenSSL Security Advisory, 9 June 2026 (CVE-2026-45447) — OpenSSL
- OpenSSL Security Advisory, 29 September 2026 (CVE-2026-84782) — OpenSSL
- Vulnerabilities list — OpenSSL
- OpenSSL runtime configuration (openssl.cafile, openssl.capath) — PHP manual