2026-5140: PHP: Mehrere Schwachstellen ermöglichen u. a. einen Denial-of-Service-Angriff

Historie:

Version 1 (2026-09-28 08:03): Neues Advisory
Version 2 (2026-10-05 08:42): Für Debian 12 Bookworm (LTS) steht Version 8.2.34-1~deb12u1 von 'php8.2' bereit, um die zehn Schwachstellen zu beheben.
Version 3 (2026-10-12 08:01): Für openSUSE Leap 15.6, für die SUSE Linux Enterprise Produkte Server 15 SP6, 15 SP6 LTSS und 15 SP7 und Server for SAP Applications 15 SP6 und 15 SP7 sowie für Web and Scripting Module 15 SP7 stehen Sicherheitsupdates für 'php8' bereit, um die zehn Schwachstellen zu beheben.

Betroffene Software

Entwicklung
Server

Betroffene Plattformen

Linux

Beschreibung:

Ein Angreifer kann mehrere Schwachstellen aus der Ferne ausnutzen, um Informationen auszuspähen, Dateien zu manipulieren und Denial-of-Service (DoS)-Angriffe durchzuführen. Zudem kann ein Angreifer mehrere Schwachstellen im benachbarten Netzwerk ausnutzen, um Informationen auszuspähen und einen Denial-of-Service (DoS)-Angriff durchzuführen. Eine weitere Schwachstelle kann ein Angreifer lokal ausnutzen, um Dateien zu manipulieren.

Für die Ausnutzung der Schwachstellen sind keine Privilegien erforderlich.

Der Hersteller veröffentlicht die PHP Versionen 8.2.34, 8.3.35, 8.4.26 und 8.5.11 als Sicherheitsupdates, um die Schwachstellen zu beheben.

Für Fedora 44 steht das Paket 'php-8.5.11-1' im Status 'testing' und für Fedora 43 steht das Paket 'php-8.4.26-1' im Status 'testing' bereit, um zehn Schwachstellen zu beheben.

Und für Debian 13 Trixie (stable) steht Version 8.4.26-1~deb13u1 von 'php8.4' bereit, um die zehn Schwachstellen zu beheben.

Schwachstellen:

CVE-2025-1218

Schwachstelle in PHP ermöglicht Denial-of-Service-Angriff

CVE-2025-14181

Schwachstelle in PHP ermöglicht u. a. Denial-of-Service-Angriff

CVE-2026-6103

Schwachstelle in PHP ermöglicht Manipulation von Dateien