Im Einzelnen handelt es sich um:

  • CVE-2026-109618 – eine Speicherkorruption im Zusammenhang mit Speichermangel (Out of Memory), die nicht authentifizierte Remote-Codeausführung ermöglicht
  • CVE-2026-109619 – ein veralteter interner Request-Zustand (stale internal request-state), der ebenfalls nicht authentifizierte Remote-Codeausführung erlaubt

Der KEV-Eintrag folgt auf Beobachtungen von Adel Karimi, Leiter Detection and Response bei Perplexity, der am 24. Oktober 2026 erfolgreiche Codeausführung gegen Honeypot-Systeme bestätigte. „Das ist jetzt bestätigte RCE mit nutzbarer Speicheroffenlegung, nicht bloß ein Absturz mit anschließendem verdächtigem Prozess", sagte Karimi. Die Antwort habe einen dekodierten Cookie-Dump von 800 KiB geliefert; eine daraus mit den Offsets des öffentlichen Exploits abgeleitete Funktionsadresse tauche in der nachfolgenden Ausführungs-Payload auf. Karimi schränkte ein: „Die Belege zeigen diese Kette auf dem absichtlich günstigen mod_php-Profil mit einem einzelnen Worker; sie sind kein Maß für die Zuverlässigkeit des Exploits bei anderen Worker-Zahlen, PHP-Builds oder Anwendungen."

Behoben sind die Fehler in den PHP-Versionen 8.5.12, 8.4.27, 8.3.36 und 8.2.35, die am 21. Oktober 2026 erschienen sind. US-Bundesbehörden müssen die Updates bis zum 29. Oktober 2026 einspielen. Nach Schätzungen von Censys laufen weiterhin mehr als 32,51 Millionen PHP-Dienste in einer verwundbaren Version.

Wegen der Tragweite haben zahlreiche Software- und Sicherheitsanbieter sowie Behörden weltweit eigene Hinweise veröffentlicht, darunter ABB, Arista Networks, Belden, Broadcom, Canon, Citrix, Craft CMS, Dell, Dormakaba, Drupal, ExpressionEngine, F5, Hikvision, HP, HPE, Hitachi Energy, HMS Networks, Huawei, IBM, Ivanti, Johnson Controls, Mitel, Moxa, NETGEAR, October CMS, Okta, QNAP, Rockwell Automation, Ruckus Wireless, Salesforce, Schneider Electric, Siemens, SonicWall, Splunk, Synology, Veeam, Wibu-Systems und WordPress.

Mit Stand 26. Oktober 2026 hat die PHP Foundation zudem die Windows-Builds 8.5.12-1, 8.4.27-1, 8.3.36-1 und 8.2.35-1 veröffentlicht. Sie beheben CVE-2026-111497, einen Out-of-Bounds-Schreibfehler in der Brotli-Decoder-Bibliothek, der ebenfalls zu Rechteausweitung und nicht authentifizierter Remote-Codeausführung führen kann. Die auch als Broccoli2Shell, HTTP2Shell und Node2Shell bezeichnete Lücke betrifft die Brotli-Versionen 1.0.3 bis 1.0.9, 1.1.0 und 1.2.0 und ist in 1.0.10, 1.1.1 und 1.2.1 geschlossen — ebenso in weiteren Projekten, die die C-Bibliothek einbinden, darunter Node.js, Bun, Envoy Proxy, Istio, .NET und Python.

„In PHP-Windows-Builds kann der verwundbare Decoder über die cURL-Erweiterung erreicht werden, wenn die automatische Dekomprimierung von HTTP-Antworten aktiviert ist", teilte die PHP Foundation mit. „Standardmäßig ist das in cURL deaktiviert, Anwendungen und HTTP-Client-Bibliotheken können es jedoch einschalten."