Die beiden kritischen PHP-Schwachstellen
CVE-2026-109618 und
CVE-2026-109619 ermöglichen nicht authentifizierten Angreifern, eigenen Code auf verwundbaren Webservern auszuführen. Sicherheitsforscher dokumentierten nun eine erfolgreiche Ausnutzung, wie '
Bleeping Computer' schreibt. Zuvor waren zahlreiche Angriffsversuche bekannt, erfolgreiche Ausnutzungen jedoch nicht technisch bestätigt.
Der Sicherheitsforscher Adel Karimi von Perplexity entdeckte den Angriff in einem Honeypot. Es handle sich um eine Remote-Code-Ausführung (RCE) auf einem Apache-Server mit PHP 8.4.26. Die Analyse belegte laut Karimi, dass Angreifer Shell-Befehle auf dem System ausführen konnten.
Bereits vor der
Veröffentlichung der Sicherheitsupdates am 21. Oktober hatten mehrere Anbieter, darunter Cloudflare und Amazon, Angriffsversuche registriert. Diese waren zunächst auf Scans und nicht funktionierende Exploits beschränkt.
Zusätzlich warnte das PHP-Projekt vor einer weiteren Schwachstelle, CVE-2026-115560. Für diese stand zum Zeitpunkt der Meldung noch kein Patch bereit. Als vorläufige Gegenmassnahme empfehlen die Entwickler, die PHP-Einstellung "session.upload_progress.enabled" auf 0 zu setzen.
Viele Schweizer Domains weiterhin verwundbar
Das Security-Unternehmen Risikomonitor hat ein
Livesystem gebaut, das den aktuellen Patch-Status europäischer Websites überwacht. In der Schweiz wurden über 1,8 Millionen Webserver überprüft. Laut dem jüngsten Stand des Monitorings waren am 26. Oktober von den überprüften Schweizer Domains noch 54'229 nicht gepatcht. Eine ungepatchte Domain bedeute jedoch nicht automatisch, dass das zugehörige System kompromittiert wurde.
Dem Bundesamt für Cybersicherheit (Bacs) waren gemäss dem bisherigen Stand keine Angriffe in der Schweiz bekannt. Unentdeckte oder nicht gemeldete Vorfälle schloss die Behörde jedoch nicht aus. Ob sich die Einschätzung durch die neuen Erkenntnisse verändert hat, ist bislang offen.
