PHP-Speicherfehler CVE-2026-109618 in CISA-Katalog aufgenommen

Was ist passiert?

Die US-Behörde CISA hat am 26. Oktober 2026 die Schwachstelle CVE-2026-109618 in PHP in ihren Katalog bekannter ausgenutzter Schwachstellen (KEV) aufgenommen. Der Katalog enthält nur Lücken, für die aktive Ausnutzung belegt ist. Die Schwachstelle selbst wurde laut NVD-Eintrag bereits am 21. Oktober 2026 veröffentlicht; der Eintrag wurde am 26. Oktober 2026 zuletzt geändert. Neu ist also vor allem die Katalogaufnahme.

Technisch geht es um den Umgang mit Speichermangel (Out-of-Memory). PHP bricht in solchen Fällen die Bearbeitung einer Anfrage über einen Sprungmechanismus ab. Manche Programmteile berücksichtigen das laut Beschreibung nicht richtig und hinterlassen Anfragespeicher in einem nicht initialisierten Zustand, bevor Speicher angefordert wird. Die anschließende Aufräumroutine kann diesen Speicher lesen oder davon abhängig verzweigen. Mehrere Strategien, Speichermangel auszulösen, können diesen Zustand zuverlässig herbeiführen und so zu Codeausführung aus der Ferne führen. Der Feed-Eintrag spricht von nicht authentifizierter Ausführung.

Wer ist betroffen?

Welche PHP-Versionen betroffen sind und in welchen Versionen ein Fix vorliegt, nennt die Quelle nicht. Grundsätzlich relevant ist die Lücke für alle, die PHP einsetzen, etwa auf Webservern, in Content-Management-Systemen oder in Shop-Systemen. Ob eine konkrete Installation betroffen ist, lässt sich anhand der vorliegenden Informationen nicht beurteilen.

Warum ist das wichtig?

Die Bewertung ist hoch: Der NVD vergibt nach CVSS 3.1 den Wert 9,8 (kritisch), der PHP-Herausgeber nach CVSS 4.0 den Wert 9,2 (kritisch). Angriffe sind über das Netzwerk möglich und erfordern laut CVSS-3.1-Vektor weder Rechte noch Nutzerinteraktion. Nach CVSS 4.0 gilt die Angriffskomplexität dagegen als hoch. Da CISA aktive Ausnutzung belegt, besteht konkreter Handlungsbedarf, vor allem bei aus dem Internet erreichbaren PHP-Anwendungen.

Als Schwachstellentypen nennt die Quelle unter anderem Use-after-free (CWE-416) und die Nutzung nicht initialisierter Ressourcen (CWE-824).

Was sollten Unternehmen jetzt tun?

CISA verlangt von den betroffenen US-Behörden Schutzmaßnahmen gemäß Herstellerhinweisen sowie die Beachtung ihrer Vorgaben zur risikobasierten Priorisierung von Updates und zur forensischen Erstprüfung. Ist keine Abhilfe verfügbar, soll das Produkt nicht mehr genutzt werden. Für Unternehmen in Deutschland ist das eine sinnvolle Orientierung.

• Alle Systeme mit PHP erfassen, auch Webhosting, CMS und Shop-Software.
• Prüfen, welche davon aus dem Internet erreichbar sind, und diese zuerst behandeln.
• Herstellerhinweise von PHP und von Ihrem Hosting- oder Softwareanbieter auf Updates und Gegenmaßnahmen prüfen.
• Verfügbare Updates oder Mitigationen zeitnah einspielen; ohne Abhilfe die Nutzung exponierter Dienste einschränken.
• Logs auf auffällige Abstürze oder Speicherfehler und ungewöhnliche Zugriffe prüfen und bei Verdacht Forensik einbeziehen.
• Dienstleister fragen, ob sie betroffen sind und wann Korrekturen kommen.