Cisco Talos meldete am 22. Oktober, nach der Offenlegung von CVE-2026-109618 und CVE-2026-109619 Angriffsversuche beobachtet zu haben. Die Aktivität bestand überwiegend aus Scans und unkoordinierten Versuchen, Payloads zu übermitteln. Talos berichtete von Versuchen, nicht von bestätigten erfolgreichen Einbrüchen.
Was Talos beobachtete und wann
Talos hatte in einer ersten Einschätzung am 21. Oktober um 14:00 UTC noch keine Ausnutzung in freier Wildbahn beobachtet. Das Update vom 22. Oktober beschreibt Versuche, die innerhalb weniger Stunden nach der Offenlegung begannen. Die Meldungen beziehen sich damit auf unterschiedliche Beobachtungszeitpunkte.
Die später gemeldeten Scans und Payload-Versuche belegen für sich genommen keinen erfolgreichen Zugriff auf betroffene Systeme. Die Details der Beobachtung veröffentlichte Talos in seinem Sicherheitsbericht zu den PHP-Schwachstellen.
Zwei Schwachstellen im PHP-Kern
CVE-2026-109618 und CVE-2026-109619 betreffen laut Talos PHP-Builds ab Version 5.4. Beide können über eine HTTP-Anfrage erreicht werden, bevor der Anwendungscode ausgeführt wird. Talos bewertet jede Schwachstelle mit 9,2 nach CVSS v4.0. Die Lücken betreffen den PHP-Kern, nicht ein bestimmtes Framework wie WordPress.
Bei CVE-2026-109618 kann ein Speichermangel die Verarbeitung unterbrechen, während Anfragedaten erst teilweise initialisiert sind. Bei der anschließenden Bereinigung können ungültige Daten fälschlich als gültig behandelt werden. CVE-2026-109619 betrifft einen veralteten internen Zustand, der weiterverwendet werden kann, nachdem der zugehörige Speicher freigegeben wurde.
Korrigierte PHP-Versionen und vorläufige Maßnahmen
CERT-EU führt PHP 8.2.35, 8.3.36, 8.4.27 und 8.5.12 als korrigierte Versionen auf. Die Versionsliste war bereits Thema in NeoTeos früherer Meldung zu den PHP-Korrekturen. Distributionen können Korrekturen auch mit eigenen Paketversionen ausliefern.
Talos nennt unter anderem memory_limit=-1, einen niedrigeren Wert für post_max_size und das Abschalten von session.upload_progress.enabled als vorläufige Maßnahmen. Für PHP 8.5 führt Talos außerdem fatal_error_backtraces=0 auf. Diese Einstellungen begrenzen bestimmte Angriffspfade, bieten laut Talos aber keinen umfassenden Schutz wie ein Update auf eine korrigierte Version.
