Wichtige Erkenntnisse
- Zu den Krypto-Nachrichten gehört eine Warnung des Binance-Gründers Changpeng Zhao vor zwei kritischen PHP-Sicherheitslücken.
- PHP-Entwickler haben Sicherheitspatches auf den 21. Oktober vorgezogen, nachdem Details zu den Sicherheitslücken online durchgesickert waren.
- Forscher haben Ausnutzungsversuche festgestellt, jedoch liegen keine bestätigten Vorfälle bei Wallets oder Börsen vor, die mit den Schwachstellen in Verbindung stehen.
Die Krypto-Nachrichten lenkten die Aufmerksamkeit auf die Sicherheit von Websites, nachdem Binance-Gründer Changpeng Zhao die Nutzer vor zwei kritischen PHP-Sicherheitslücken gewarnt hatte. Am 22. Oktober mahnte er zur Vorsicht beim Surfen in den kommenden Tagen.
Die Schwachstellen könnten es Angreifern ermöglichen, ohne Authentifizierung Code auf anfälligen Servern auszuführen. Betroffen sind Installationen auf Plattformen wie WordPress, Magento, Drupal und Joomla.
Die Entwickler haben am 21. Oktober Notfall-Patches veröffentlicht, nachdem Informationen vor der geplanten Offenlegung durchgesickert waren. Forscher haben Ausnutzungsversuche festgestellt, während einige Administratoren ihre Systeme möglicherweise noch aktualisieren müssen. Es liegen keine bestätigten Vorfälle im Zusammenhang mit Kryptowährungsbörsen oder Benutzer-Wallets vor, die direkt mit den neu bekannt gewordenen Sicherheitslücken in Verbindung gebracht werden könnten.
Krypto-Nachrichtenwarnung hebt Risiken durch nicht gepatchte Websites hervor
Changpeng Zhao bezog seine Warnung in den Krypto-Nachrichten auf Website-Administratoren, die möglicherweise nicht die neuesten Sicherheitsupdates installiert haben. Seine Warnung betraf Websites, die Angreifer über anfällige PHP-Installationen kompromittieren könnten.
PHP wird weltweit auf Millionen von Websites eingesetzt. Die Sicherheitslücken betreffen die Serverinfrastruktur, die Angreifer nutzen könnten, um auf sensible Informationen zuzugreifen oder Inhalte zu verändern.
Für Leser von Krypto-Nachrichten ist es wichtig zu unterscheiden, wo ein Angriff seinen Ausgangspunkt nimmt. Der Besuch einer PHP-Website führt nicht automatisch zu einer Kompromittierung eines Geräts oder einer Kryptowährungs-Wallet.
Allerdings könnten Angreifer, die einen Server kontrollieren, Anmeldeseiten verändern oder betrügerische Verbindungsanfragen an Wallets einleiten. Das daraus resultierende Risiko würde davon abhängen, welchen Zugriff sie erlangt haben.
Der Gründer von Binance sprach seine Warnung vor dem Hintergrund von Phishing-Kampagnen aus, die sich gegen Nutzer von Kryptowährungen richteten. Frühere Berichte beschrieben gefälschte Ledger-Websites, über die Wiederherstellungsphrasen abgefragt wurden, sowie Trezor-Phishing-E-Mails, die über kompromittierte Infrastruktur verbreitet wurden.
Keiner der beiden Vorfälle weist einen Zusammenhang mit den kürzlich bekannt gewordenen PHP-Sicherheitslücken auf.
Kritische PHP-Sicherheitslücken führen zu einer vorgezogenen Sicherheitsveröffentlichung
Die PHP Foundation identifizierte die Schwachstellen als CVE-2026-109618 und CVE-2026-109619. Beide erhielten eine Schweregradbewertung von 9,2 von 10.
Die erste betrifft eine Speicherbeschädigung, wenn PHP bei bestimmten Operationen sein konfiguriertes Speicherlimit erreicht. Unter bestimmten Bedingungen könnte die fehlerhafte Verarbeitung teilweise initialisierter Daten die Ausführung von nicht autorisiertem Code ermöglichen.
Die zweite Schwachstelle betrifft interne Referenzen, die auch dann noch zugänglich bleiben, wenn PHP den zugehörigen Speicher freigibt. Forscher konnten die Ausführung von Code in Anwendungen nachweisen, die auf betroffenen Servern laufen.
Die Stiftung bestätigte die Ausnutzung unter Standardkonfigurationen von Apache unter Verwendung von mod_php. Die Forscher demonstrierten zudem Angriffspfade unter Einbeziehung von PHP-FPM.
Die Entwickler veröffentlichten am 21. Oktober die PHP-Versionen 8.2.35, 8.3.36, 8.4.27 und 8.5.12. In der offiziellen Sicherheitsempfehlung wurde zu sofortigen Updates aufgefordert, da vorübergehende Schutzmaßnahmen das Risiko nicht vollständig beseitigen konnten.
Nicht mehr unterstützte PHP-Zweige sind möglicherweise auf separate Korrekturen von Hosting-Anbietern oder Softwareherstellern angewiesen.
„Crypto News Alert“ folgt auf Informationslecks vor der koordinierten Veröffentlichung
Die Kennungen der Sicherheitslücken tauchten am 20. Oktober in Foren und sozialen Medien auf. Diese Beiträge enthielten eine falsche Schweregradbewertung von 10,0 sowie einen ungenauen Zeitplan für die Veröffentlichung.
Die ursprüngliche Veröffentlichung enthielt keine technischen Anweisungen zum Ausnutzen der Schwachstelle. Die Warnung in den Krypto-Nachrichten folgte auf einen Offenlegungsprozess, der durch das weitere Auftauchen von Material im Internet gestört wurde.
Das Sicherheitsunternehmen Calif veröffentlichte anschließend versehentlich ein Proof-of-Concept-Video. Nach dessen Entfernung kursierten Kopien, und Forscher entwickelten weitere Exploit-Demonstrationen.
Das PHP-Team hat die für den 22. Oktober geplante Veröffentlichung um einen Tag vorverlegt. Dies gab Softwareanbietern Zeit, Updates vorzubereiten, und begrenzte gleichzeitig den Zeitraum, in dem technische Details bekannt wurden, ohne dass entsprechende Patches verfügbar waren. Die Stiftung kritisierte zudem Chainguard dafür, dass das Unternehmen gepatchte Software-Images mehr als sechs Stunden vor der koordinierten Offenlegung veröffentlicht hatte.
Darin hieß es, dass Angreifer diese Änderungen bereits vor der öffentlichen Bekanntgabe untersuchen könnten. Cloudflare hat bereits vor der Offenlegung Firewall-Schutzmaßnahmen implementiert und dabei mit Forschern von OpenAI, Wiz und anderen Organisationen zusammengearbeitet.
Cloudflare bezeichnete die Sicherheitslücken als „PHP2Shell“ und identifizierte Risiken wie die Ausführung von Code aus der Ferne, Betriebsstörungen und die Offenlegung sensibler Daten.
Das Canadian Centre for Cyber Security forderte Organisationen, die PHP-Anwendungen mit Internetanbindung betreiben, nachdrücklich auf, anfällige Installationen zu identifizieren und verfügbare Updates zu installieren.
