2026-2046: PHP: Mehrere Schwachstellen ermöglichen u. a. das Ausführen beliebigen Programmcodes

Historie:

Version 1 (2026-05-18 10:37): Neues Advisory
Version 2 (2026-05-28 07:49): Für Legacy Module 15 SP7 und openSUSE Leap 15.4, für die SUSE Linux Enterprise Produkte Desktop 15 SP7, High Performance Computing 15 SP4 und 15 SP4 ESPOS / LTSS, Real Time 15 SP7, Server 15 SP4, 15 SP4 LTSS, 15 SP5, 15 SP5 LTSS, 15 SP6, 15 SP6 LTSS und 15 SP7 und Server for SAP Applications 15 SP4, 15 SP5, 15 SP6 und 15 SP7 sowie für SUSE Package Hub 15 SP7 stehen Sicherheitsupdates für 'php7' bereit, um die sechs Schwachstellen zu beheben.
Version 3 (2026-07-03 12:41): Für Red Hat Enterprise Linux for x86_64 / ARM 64 in den Versionen 8 (x86_64, aarch64) und Extended Life Cycle 8.10 (x86_64, aarch64) stehen Sicherheitsupdates für 'php:7.4' bereit, um die sechs aufgeführten Schwachstellen zu beheben.
Version 4 (2026-07-03 15:45): Für Oracle Linux in Version 8 (x86_64, aarch64) stehen Sicherheitsupdates für 'php:7.4' bereit, um sechs Schwachstellen zu beheben.

Betroffene Software

Entwicklung
Server

Betroffene Plattformen

Linux
Oracle

Beschreibung:

Ein Angreifer kann mehrere Schwachstellen aus der Ferne ausnutzen, um beliebigen Programmcode auszuführen, einen Cross-Site-Scripting (XSS)-Angriff durchzuführen und Denial-of-Service (DoS)-Angriffe durchzuführen.

Für die Ausnutzung der meisten Schwachstellen sind keine Privilegien erforderlich. Die erfolgreiche Ausnutzung einer Schwachstelle kann Einfluss auf andere Komponenten haben.

Für Debian 11 Bullseye (LTS) steht Version 7.4.33-1+deb11u11 von 'php7.4' bereit, um sechs Schwachstellen zu beheben.

Schwachstellen:

CVE-2026-6722

Schwachstelle in PHP ermöglicht Ausführen beliebigen Programmcodes

CVE-2026-6735

Schwachstelle in PHP ermöglicht Cross-Site-Scripting-Angriff

CVE-2026-7258

Schwachstelle in PHP ermöglicht Denial-of-Service-Angriff

CVE-2026-7261