PHP-Schwachstellen: Passwork-Status und Empfehlungen

Warnung: Kritische PHP-Schwachstellen. CVE-2026-109618 und CVE-2026-109619 können es einem nicht authentifizierten Angreifer ermöglichen, Code auf einem Server auszuführen, auf dem PHP läuft, einschließlich PHP-FPM. Beide werden auf CVSS v4.0 mit 9,2 bewertet, und laut dem PHP-Projekt ist ein Update die einzige vollständige Abhilfe. Administratoren von On-Premise-Installationen von Passwork sollten PHP auf 8.5.12, 8.4.27, 8.3.36 oder 8.2.35 aktualisieren.

Update vom PHP-Projekt: Korrekturen veröffentlicht

Das PHP-Projekt hat am 20. Oktober ein kritisches Sicherheitsrelease angekündigt und am 21. Oktober veröffentlicht. PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35 beheben beide Schwachstellen. Das Advisory betrifft jede PHP-Installation, die Webanfragen verarbeitet, einschließlich PHP-FPM, und hält fest, dass „es keine vollständigen Gegenmaßnahmen gibt, ein Update ist die einzig sichere Wahl.“

CVE Was schiefgeht Gemeldete Auswirkung
CVE-2026-109618 Die Behandlung von Speichermangel (Out-of-Memory) kann PHP unterbrechen, während Anfragedaten erst teilweise initialisiert sind, und die Bereinigung der Anfrage behandelt diese Daten anschließend als gültig Nicht authentifizierte Remote-Code-Ausführung unter dem Konto des Web-Workers
CVE-2026-109619 Der Anfragezustand bleibt bestehen, nachdem sein Speicher freigegeben wurde, und eine spätere Anfrage auf demselben Worker verwendet ihn Nicht authentifizierte Remote-Code-Ausführung und Offenlegung von Speicherinhalten

Self-hosted-Installationen: Update-Plan

Administratoren von Self-hosted-Installationen müssen das PHP-FPM, das Passwork ausliefert, auf die korrigierte Version ihres Branches aktualisieren, neu starten und die Version am PHP-FPM-Binary prüfen, nicht in einer Shell. Beginnen Sie mit Instanzen, die aus dem Internet erreichbar sind.

Bevor Sie Änderungen an der Produktivumgebung vornehmen:

  • Erstellen Sie einen Snapshot der Datenbank und der Konfiguration und proben Sie die Wiederherstellung auf einem Ersatzhost, falls Sie dies in letzter Zeit nicht getan haben.
  • Verwenden Sie die korrigierte Version des Branches, den Sie bereits einsetzen. Der Wechsel auf einen anderen Branch ist eine eigene Änderung, die einen separaten Test mit Ihrer Passwork-Version erfordert.
  • Installieren Sie Builds ausschließlich aus Ihrer Distribution, von Ihrem Hersteller oder von php.net. Quell-Builds und Windows-Binaries finden Sie auf der PHP-Downloadseite. Distributions- und Long-Term-Support-Anbieter haben die Patches vorab erhalten. Suchen Sie daher zuerst nach deren Paketen, bevor Sie etwas kompilieren.

Spielen Sie das Update anschließend so ein, wie Sie PHP installiert haben (per Paket oder Container-Image), starten Sie den Dienst neu und prüfen Sie, ob das PHP-FPM, das Passwork ausliefert, eine korrigierte Version meldet. Das PHP in der Kommandozeile kann eine andere Version melden als PHP-FPM. Prüfen Sie daher die Komponente, die Webanfragen verarbeitet.

Wenn ein sofortiges Update nicht möglich ist

Beschränken Sie bis zur Installation des Updates den Kreis derer, die Passwork erreichen können. Stellen Sie es hinter ein VPN oder beschränken Sie es auf einen per Allowlist freigegebenen Netzwerkbereich, und erfassen Sie zuvor alle Clients, die von außen zugreifen: Remote-Mitarbeiter, mobile Apps, Browser-Erweiterungen, API- und CLI-Jobs. Jeder von ihnen funktioniert nicht mehr, wenn Sie den Zugriff einschränken, ohne ihn freizugeben.

Das PHP-Advisory nennt außerdem Übergangseinstellungen für jede CVE, die Speicherlimits, Grenzen für die Anfragegröße und den Upload-Fortschritt von Sitzungen betreffen. Sie schließen einzelne Angriffspfade, machen eine Installation aber nicht sicher. Testen Sie sie vor dem Produktiveinsatz auf einer Staging-Instanz, da sie das Verhalten bei Speicher, Uploads und Sitzungen verändern.