Am 26. Oktober 2026 nahm CISA CVE-2026-109618 und CVE-2026-109619 in seinen Katalog bekanntermaßen ausgenutzter Sicherheitslücken (KEV) auf. Die PHP Foundation hatte bereits am 21. Oktober korrigierte Versionen veröffentlicht. Für Argentinien berichtete der frühere CERT-Koordinator Ariel Cessario von Maßnahmen bei drei Stellen; eine separate Erhebung zählte PHP-Nutzungssignale auf einem Teil der untersuchten Regierungsseiten.
Was CISA mit dem KEV-Eintrag festhielt
CISA führte beide CVEs als bekannte ausgenutzte Schwachstellen. Die Aufnahme beschreibt den Status der Sicherheitslücken, nicht einen konkreten Angriff auf argentinische Behörden. CISAs Mitteilung vom 26. Oktober nennt beide Kennungen.
Zwei Schwachstellen mit unterschiedlichen Fehlerpfaden
CVE-2026-109618 kann durch Speicherkorruption bei erschöpftem Arbeitsspeicher Codeausführung auf dem Server ermöglichen. Laut PHP Foundation können dabei unter bestimmten Bedingungen interne Daten unvollständig initialisiert und später als gültig behandelt werden. Bei Apache mit mod_php kann eine nicht authentifizierte Anfrage den Fehler auslösen, bevor der Anwendungscode ausgeführt wird. Die Foundation berichtet, dass eine Codeausführung mit Standardeinstellungen demonstriert wurde; auch über Anwendungspfade mit PHP-FPM sei sie bestätigt worden.
CVE-2026-109619 betrifft veralteten internen Anfragezustand. Nach einem schwerwiegenden Fehler kann ein Worker noch auf Speicher aus einer früheren Anfrage verweisen, obwohl dieser bereits freigegeben wurde. Eine spätere Anfrage desselben Workers kann diesen Speicher erneut verwenden. Die Foundation bestätigte einen Use-after-free-Fehler und einen Worker-Absturz; ein Sicherheitsforscher demonstrierte Codeausführung in einer realen Apache-mod_php-Anwendung.
Diese PHP-Versionen enthalten die Korrekturen
Am 21. Oktober 2026 veröffentlichte das PHP-Projekt die korrigierten Versionen 8.5.12, 8.4.27, 8.3.36 und 8.2.35. Wer PHP 8.1 oder einen älteren Zweig einsetzt, sollte laut dem BA-CSIRT der Stadt Buenos Aires auf einen unterstützten Zweig wechseln oder ein Sicherheitsupdate des zuständigen Anbieters beziehungsweise der Distribution einspielen. Eine frühere NeoTeo-Berichterstattung zu den PHP-Sicherheitslücken bietet den bisherigen Kontext.
Was über Argentiniens Behörden und Regierungsseiten berichtet wurde
Der frühere Koordinator des argentinischen CERT, Ariel Cessario, sagte laut Clarín, Argentina.gob.ar sowie die Gesundheits- und Wirtschaftsministerien hätten bis zum 22. Oktober empfohlene Maßnahmen umgesetzt. Für weitere Behörden konnte er die Reaktion nicht bestätigen.
Eine von Clarín berichtete Erhebung von Segu-info hatte am 29. Oktober um 13:53 Uhr 13.977 von insgesamt 35.847 erfassten gob.ar-Seiten untersucht. Bei 4.758 Seiten fand sie Anzeichen für PHP-Nutzung. Diese Zahl beschreibt erkannte oder vermutete PHP-Nutzung, nicht bestätigte verwundbare oder kompromittierte Seiten.
Welche Prüfungen BA-CSIRT empfiehlt
BA-CSIRT rät dazu, die PHP-Version zu prüfen, eine korrigierte Version oder ein Sicherheitsupdate des jeweiligen Anbieters beziehungsweise der Distribution einzuspielen und anschließend alle PHP-Umgebungen zu kontrollieren. Wer den Server nicht selbst verwaltet, sollte den Hosting-Anbieter oder das zuständige technische Team ansprechen. Vorläufige Schutzmaßnahmen ersetzen laut dem Hinweis kein Update.
