Drei PHP-⁠Schwachstellen – Updates je Distribution prüfen

Das CERT-⁠Bund-⁠Advisory WID-⁠SEC-⁠2026-⁠2598 bündelt drei PHP-⁠Schwachstellen: CVE-⁠2026-⁠17543, CVE-⁠2026-⁠17544 und CVE-⁠2026-⁠7260. Als mögliche Folgen nennt es SQL-⁠Injection, die Ausführung beliebigen Codes, Datenmanipulation und Denial of Service; die Schwachstellen sind remote ausnutzbar.

Die möglichen Folgen betreffen unterschiedliche Bereiche

Die genannten Auswirkungen sind nicht gleichbedeutend: SQL-⁠Injection betrifft Datenbankabfragen, Datenmanipulation die Integrität von Informationen und Denial of Service die Verfügbarkeit eines Dienstes. Die Ausführung beliebigen Codes kann darüber hinaus die betroffene Umgebung berühren. Das Advisory führt diese Folgen für mehrere Schwachstellen auf. Daraus sollte nicht abgeleitet werden, dass jede einzelne CVE alle genannten Auswirkungen ermöglicht.

Für die Bewertung nennt CERT-⁠Bund einen CVSS-3.1-Base-Score von 9,8 und einen Temporal Score von 8,8; das Risiko wird als hoch eingestuft. Für den Betrieb ist vor allem die Kombination aus möglicher Remote-⁠Ausnutzung und den unterschiedlichen möglichen Folgen relevant. Die Scores ersetzen aber nicht die Zuordnung zur eigenen Umgebung: Sie sagen allein nicht, welche konkrete PHP-⁠Installation betroffen ist oder welcher Herstellerstand dort gilt.

PHP steckt in mehreren Produkt-⁠ und Updatepfaden

Die Liste der betroffenen Produkte umfasst neben Open Source PHP auch mehrere Linux-⁠Distributionen: Amazon Linux 2, Debian, Oracle Linux, Rocky Linux, Red Hat Enterprise Linux, SUSE, openSUSE und Ubuntu. Zend Server und ZendPHP sind ebenfalls aufgeführt. Damit reicht eine Prüfung allein des PHP-⁠Stands auf einem einzelnen Webserver nicht aus, wenn PHP an weiteren Stellen betrieben oder über unterschiedliche Produkte bereitgestellt wird.

Für Open Source PHP nennt das Advisory die Stände 8.2.33, 8.3.33, 8.4.24 und 8.5.9. Zusätzlich führt es für diese Zweige jeweils ältere Versionen unterhalb der genannten Stände auf. Prüfen Sie deshalb zuerst, welcher PHP-⁠Zweig tatsächlich eingesetzt wird, und gleichen Sie ihn mit dem für Ihre Plattform geltenden Updatehinweis ab. Eine Versionsnummer sollte nicht ohne den passenden Produkt-⁠ und Distributionskontext bewertet werden.

Der Stand der Meldung hat sich über Monate erweitert

Das Advisory wurde erstmals am 30. Juli 2026 veröffentlicht und am 21. Oktober 2026 aktualisiert. In seiner Versionshistorie sind wiederholt ergänzte Updates verschiedener Anbieter vermerkt; die jüngste Änderung nahm Updates von Oracle Linux auf. Die Meldung ist damit nicht nur eine Erstinformation zu drei CVE-⁠Kennungen, sondern auch eine fortlaufend ergänzte Übersicht zu verfügbaren Updates.

Das ist für die Wartungsplanung wichtig: Ein früher gelesener Stand der Meldung muss nicht alle später aufgenommenen Anbieterinformationen enthalten. Prüfen Sie daher den aktuellen Hinweis für die eingesetzte Distribution beziehungsweise das konkrete Produkt, statt von einem einheitlichen Veröffentlichungszeitpunkt für alle Systeme auszugehen. Die verfügbaren Einträge im Advisory zeigen, dass mehrere Anbieter Updates aufgenommen haben; daraus folgt jedoch nicht, dass jedes betroffene System bereits aktualisiert ist.

So priorisieren Sie die Prüfung

Beginnen Sie mit Systemen, auf denen PHP aus dem Netz erreichbar ist. CERT-⁠Bund stuft die Schwachstellen als remote ausnutzbar ein. Erfassen Sie anschließend die verwendete PHP-⁠Installation samt Produkt oder Distribution und gleichen Sie sie mit dem passenden Anbieterhinweis ab. Beziehen Sie dabei auch Installationen von Zend Server oder ZendPHP ein, falls diese bei Ihnen eingesetzt werden.

Spielen Sie das für das jeweilige System vorgesehene Update ein und prüfen Sie danach, ob der aktualisierte Paketstand tatsächlich auf dem betroffenen Host angekommen ist. Das ist aussagekräftiger als ein allgemeiner Vermerk, die PHP-⁠Aktualisierung sei erledigt: Die Meldung führt mehrere Produktfamilien und Anbieter auf, deren Updateinformationen getrennt ergänzt wurden.

Maßgeblich ist der korrigierte Paketstand für das konkrete PHP-⁠Produkt und die eingesetzte Distribution.

Quellen: CERT-⁠Bund – WID-⁠SEC-⁠2026-⁠2598, „PHP: Mehrere Schwachstellen“ (https://wid.cert-bund.de/portal/wid/securityadvisory?name=WID-⁠SEC-⁠2026-⁠2598)