Pinguin working on Servers Bild © DALL-EPinguin working on Servers (Bild © DALL-E)

Der Sicherheitshinweis hebt zwei wesentliche Sicherheitslücken hervor, die Systeme der Gefahr der Remote-Code-Ausführung (RCE) aussetzen, wenn ein Angreifer speziell gestalteten Netzwerkverkehr sendet.

CVE-2026-109618: Fehler bei der Speicherverwaltung

Diese Sicherheitslücke resultiert aus der fehlerhaften Behandlung von Speicherausfällen bei der Verarbeitung eingehender Anfragen. Wenn der PHP-Interpreter Speicherausfälle nicht ordnungsgemäß verwaltet, entsteht eine Möglichkeit für Angreifer aus der Ferne, beliebigen Code auf dem Host-Server auszuführen.

CVE-2026-109619: Fehlerhafte Verwaltung interner Anfragestatus

Die zweite Sicherheitslücke betrifft die fehlerhafte Verwaltung interner Anfragestatus bei der Wiederverwendung von Worker-Prozessen. Da der Status zwischen wiederverwendeten Worker-Prozessen nicht ordnungsgemäß zurückgesetzt oder isoliert wird, kann ein Angreifer aus der Ferne diese Inkonsistenz ausnutzen, um die Ausführung von beliebigem Code auszulösen.

Auswirkungen auf das System und Risikobewertung

Werden diese Sicherheitslücken nicht behoben, ermöglichen sie es einem externen Angreifer, bösartige Netzwerkpakete an einen Server zu senden, auf dem die betroffenen PHP-Versionen laufen. Zu den Hauptrisiken gehören:

  • 1.Ausführung von Code aus der Ferne (RCE): Angreifer können nicht autorisierte Programme mit den Berechtigungen des PHP-Prozesses ausführen.
  • 2.Systeminstabilität: Die Schwachstellen können ausgenutzt werden, um den PHP-Interpreter zum Absturz zu bringen, was zu einem Denial-of-Service (DoS)-Zustand führt.

Erforderliche Updates und Versionsangaben

Um diese Risiken zu mindern, müssen Administratoren ihre Systeme auf die neuesten Paketversionen aktualisieren. Der Fix betrifft mehrere Komponenten, darunter die CGI-, CLI- und FPM-Binärdateien sowie das Apache-Modul.

Ubuntu 26.10 (Stonking)

Für Benutzer der Version 26.10 müssen die folgenden Pakete auf die Version 8.5.9-0ubuntu2.1 aktualisiert werden:

  • php8.5-cgi
  • php8.5-cli
  • php8.5-fpm
  • libapache2-mod-php8.5

Ubuntu 26.04 LTS (Resolute)

Benutzer der Version 26.04 LTS müssen diese Pakete auf die Version 8.5.4-0ubuntu1.5 aktualisieren:

  • php8.5-cgi
  • php8.5-cli
  • php8.5-fpm
  • libapache2-mod-php8.5

Ubuntu 24.04 LTS (Noble)

Für die Version 24.04 LTS ist die erforderliche Korrektur die Version 8.3.6-0ubuntu0.24.04.13 für folgende Pakete:

  • php8.3-cgi
  • php8.3-cli
  • php8.3-fpm
  • libapache2-mod-php8.3

Ubuntu 22.04 LTS (Jammy)

Benutzer der Version 22.04 LTS müssen für die folgenden Pakete ein Upgrade auf die Version 8.1.2-1ubuntu2.28 durchführen:

  • php8.1-cgi
  • php8.1-cli
  • php8.1-fpm
  • libapache2-mod-php8.1

Anweisungen zur Behebung

Systemadministratoren sollten ein standardmäßiges System-Update durchführen, um diese Sicherheitspatches zu installieren. Dieser Vorgang stellt sicher, dass alle betroffenen PHP-Pakete auf die oben aufgeführten sicheren Versionen aktualisiert werden. Werden diese Komponenten nicht aktualisiert, ist die Infrastruktur anfällig für Remote-Angriffe über die Vektoren CVE-2026-109618 und CVE-2026-109619. Es wird auch geraten die Systeme direkt vom Netz zu nehmen, bis die Patches aufgespielt sind.