PHP schließt zwei kritische Lücken, die unauthentifizierte Angreifer ausnutzen konnten
PHP Foundation's Overview of CVE-2026-109618 and CVE-2026-109619
Mit PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35 behebt das Projekt zwei kritische Schwachstellen: eine Speicherkorruption bei Erreichen des memory_limit und einen Use-after-free durch veralteten Zustand nach einem Fatal Error. Beide erlaubten unter Apache mit mod_php Remote Code Execution ohne Anmeldung. Die PHP Foundation schildert offen, warum die Behebung des OOM-Problems monatelang stockte – und wie ein Leak und Chainguards Bruch der Sperrfrist die koordinierte Offenlegung störten.
Wir wollen es nicht anders darstellen: Die Verzögerung war ein strukturelles Versagen, verursacht sowohl durch den Entscheidungsprozess des Sicherheitsteams als auch durch seinen Ressourcenmangel.