CVE-2026-109618: PHP kann durch Speichermangel Code ausführen

Worum es geht

Bei dieser Schwachstelle geht PHP falsch mit Speichermangel um. Geht dem Programm während einer Anfrage der Arbeitsspeicher aus, bricht es die Anfrage sofort ab. Dabei bleiben manche Daten in einem halb fertigen Zustand zurück. Beim Aufräumen liest PHP diese Daten trotzdem. Das kann ein Angreifer nach Angaben des Datensatzes für die Ausführung eigenen Codes nutzen (Remote Code Execution, kurz RCE).

Die Lücke trägt die Kennung CVE-2026-109618. Der Angriff läuft über das Netzwerk, ohne Anmeldung und ohne Zutun eines Nutzers.

Wie der Angriff funktioniert

Der Angreifer muss PHP dazu bringen, den erlaubten Speicher aufzubrauchen. Laut PHP-Hinweis gelingt das auf mehreren Wegen, die mit dem Hochladen von Dateien (multipart-Anfragen) zu tun haben. Eine Anfrage ohne brauchbare Längenangabe kann die Größenprüfung post_max_size umgehen. Ein einzelner Teil der Anfrage kann beliebig viele Kopfzeilen enthalten, die in PHP deutlich mehr Speicher belegen als im Netz. Leere Dateifelder zählen nicht zur Obergrenze max_file_uploads, erzeugen aber trotzdem Datenstrukturen.

Besonders anfällig ist laut Hersteller Apache mod_php. Dort läuft die Aufräumroutine auch dann, wenn schon der Start der Anfrage gescheitert ist. Das geschieht, bevor Code Ihrer Anwendung überhaupt läuft. Ihre eigene Software spielt für diesen Weg also keine Rolle.

Bei PHP-FPM beendet sich der Prozess nach einem fehlgeschlagenen Start. Der Hersteller hält FPM dennoch für anfällig, auch wenn dafür kein vollständiger Exploit gezeigt wurde. Bei FrankenPHP vermutet er ein ähnliches Verhalten wie bei mod_php.

Wo PHP im Mittelstand läuft und wie Sie das prüfen

PHP steckt in vielen Webanwendungen: Firmenwebsites, Shops, Kundenportale, Wikis und interne Tools. Oft läuft es auf einem Webserver, den ein Dienstleister betreibt, oder bei einem Hosting-Anbieter. Manchmal läuft es auch unbemerkt in einem Paket, das jemand vor Jahren installiert hat.

So finden Sie heraus, ob Sie betroffen sind:

• Fragen Sie Ihren Dienstleister oder Hoster, welche PHP-Version läuft und wie PHP eingebunden ist (mod_php, FPM oder FrankenPHP).
• Auf eigenen Linux-Servern zeigt php -v die Version. Vergleichen Sie sie mit den reparierten Ständen in der Kurzinfo.
• Beachten Sie: Die Liste der betroffenen Produkte im Datensatz ist unvollständig. Sie nennt nur Produkte, für die schon eine Reparatur gemeldet ist. Fehlt Ihre Distribution dort, sind Sie nicht automatisch sicher.

Für Debian sind reparierte Pakete genannt, etwa php8.2 in Version 8.2.35-1~deb12u1. Für Red Hat und Rocky Linux stehen Modulpakete im Datensatz.

Einordnung der Kennzahlen

Der CVSS-Wert von 9,8 von 10 gilt als kritisch. Er ergibt sich daraus, dass der Angriff über das Netzwerk geht, einfach ist und weder Anmeldung noch Zutun eines Nutzers braucht. Er sagt aber nichts darüber, ob jemand die Lücke tatsächlich ausnutzt.

Dazu hilft der EPSS-Wert, eine Schätzung der Ausnutzungswahrscheinlichkeit. Er liegt bei 5,31 Prozent in den nächsten 30 Tagen, das Perzentil ist 93. Das heißt: Etwa 93 Prozent aller bewerteten Lücken haben einen niedrigeren Wert. In der CISA-Liste bekannter ausgenutzter Lücken steht die Schwachstelle nicht.

Die Maßnahmen finden Sie im Block „Mögliche Lösung“. ByePast unterstützt Sie bei Bestandsaufnahme und Update, wenn Sie das wünschen.