2026-5932: PHP: Zwei Schwachstellen ermöglichen das Ausführen beliebigen Programmcodes

Historie:

Version 1 (2026-10-22 09:35): Neues Advisory
Version 2 (2026-10-23 08:26): Der Hersteller hat den Sicherheitshinweis aktualisiert und weist Voice and Unified Communications Geräte der Expressway Series als verwundbar aus; ein Sicherheitsupdate in Version 15.5.21 ist in Arbeit. Um die Schwachstellen auf diesem Produkt ausnutzen zu können, muss ein Angreifer als Administrator authentisiert sein.

Betroffene Software

Entwicklung
Server
Sicherheit

Betroffene Plattformen

Hardware
Cisco

Beschreibung:

Ein Angreifer kann zwei Schwachstellen in PHP aus der Ferne ausnutzen, um beliebigen Programmcode auszuführen.

Für die Ausnutzung der Schwachstellen sind keine Privilegien erforderlich.

Das BSI stuft beide Schwachstellen als kritisch ein und teilt mit, dass es bereits unbestätigte Berichte über bestehende Exploits gibt. Ein Update wird dringend empfohlen.

Cisco evaluiert momentan, welche ihrer Produkte von den Schwachstellen betroffen sind und gibt an, dass soweit noch kein Cisco-Produkt als betroffen erkannt wurde.

Schwachstellen:

CVE-2026-109618

Schwachstelle in PHP ermöglicht Ausführen beliebigen Programmcodes

CVE-2026-109619