21. Oktober 2026
Beschreibung
In PHP existieren zwei kritische Sicherheitslücken, deren Ausnutzung es
nicht authentifizierten Angreifer:innen ermöglichen kann, aus der Ferne
beliebigen Code auszuführen. Betroffen sind laut PHP-Projekt alle
PHP-Installationen, die Web-Anfragen verarbeiten, darunter PHP-FPM,
Apache mit mod_php, php-cgi, FrankenPHP und LiteSpeed.
Bei CVE-2026-109618 kann die Behandlung von Out-of-Memory-Zuständen
(OOM) PHP unterbrechen, während interne Anfragedaten nur teilweise
initialisiert sind. Beim anschließenden Beenden der Anfrage werden
diese ungültigen Daten als gültig verarbeitet. Bei CVE-2026-109619 kann
anfragebezogener interner Zustand bestehen bleiben, nachdem der
zugehörige Speicher bereits freigegeben wurde (Use-after-free). Eine
spätere Anfrage, die vom selben Worker-Prozess verarbeitet wird, kann
diesen veralteten Zustand vor der regulären Initialisierung verwenden.
CVE-Nummer(n): CVE-2026-109618, CVE-2026-109619
CVSS v4.0 Base Score: 9.2
Auswirkungen
Durch Ausnutzen der Schwachstellen können Angreifer:innen ohne
Authentifizierung aus der Ferne beliebigen Code mit den Rechten des
Benutzerkontos ausführen, unter dem der Webserver- bzw.
PHP-Worker-Prozess läuft. CVE-2026-109619 ermöglicht zusätzlich das
Auslesen von Speicherinhalten.
Das PHP-Projekt stuft das Risiko für Apache mit mod_php am höchsten
ein: Für diese Konfiguration wurde eine Ausnutzung demonstriert, bei
der eine nicht authentifizierte Anfrage den Angriff auslöst, bevor
Anwendungscode ausgeführt wird. Für CVE-2026-109619 wurde die
Codeausführung zusätzlich gegen PHP-FPM validiert. Angaben zu einer
aktiven Ausnutzung macht das PHP-Projekt nicht.
Betroffene Systeme
* PHP 8.5 vor Version 8.5.12
* PHP 8.4 vor Version 8.4.27
* PHP 8.3 vor Version 8.3.36
* PHP 8.2 vor Version 8.2.35
* PHP 8.1 und ältere Versionen (End of Life)
Abhilfe
Das PHP-Projekt stellt mit den Versionen 8.5.12, 8.4.27, 8.3.36 und
8.2.35 Updates bereit, welche die Schwachstellen beheben. Laut
Hersteller ist ausschließlich ein Update eine vollständige Abhilfe.
Linux-Distributionen und LTS-Anbieter haben die Patches vorab erhalten;
aktualisierte Pakete sind über die jeweiligen Anbieter zu beziehen. Für
das Repository rpms.remirepo.net sind laut PHP-Projekt am 21. Oktober
2026 keine Updates verfügbar. Betreiber:innen, die dieses Repository
nutzen, wird empfohlen, auf Distributionspakete umzusteigen oder PHP
aus dem Quellcode zu bauen.
PHP 8.1 und ältere Versionen erhalten keine Updates mehr vom
PHP-Projekt. Einige Distributionen und LTS-Anbieter stellen
zurückportierte Fixes bereit. Zusätzlich hat das PHP-Projekt minimale
Quellcode-Backports für [106]PHP 7.4, [107]PHP 8.0 und [108]PHP 8.1
veröffentlicht. Ein Upgrade auf eine unterstützte Version wird
empfohlen. PHP 8.2 erreicht am 31. Dezember 2026 das End of Life.
Falls ein sofortiges Update nicht möglich ist, reduzieren folgende
Maßnahmen die Angriffsfläche für einzelne bekannte Angriffswege. Sie
bieten jedoch keinen vollständigen Schutz:
* CVE-2026-109618: memory_limit=-1 so setzen, dass Anwendungen den
Wert nicht überschreiben können (z. B. per php_admin_value in der
FPM-Pool- oder Apache-Konfiguration). Einen niedrigen Wert für
post_max_size setzen (8M ohne Datei-Uploads, 32M mit Datei-Uploads)
und upload_max_filesize darunter halten. Zusätzlich können
Begrenzungen auf Webserver- bzw. Proxy-Ebene (u. a. Anfragegröße,
Anzahl der Eingabefelder, Multipart-Teile und Header) gesetzt
werden. Container- oder cgroup-Speicherlimits können als
Verfügbarkeitsgrenze dienen; RLIMIT_AS und RLIMIT_DATA sollten
nicht verwendet werden, da diese die verwundbare Speicherallokation
auslösen können.
* CVE-2026-109619: session.upload_progress.enabled=0 in php.ini, in
der FPM-Pool- oder Serverkonfiguration setzen (nicht über ini_set()
oder .user.ini) und alle Worker-Prozesse neu starten. Unter PHP 8.5
zusätzlich fatal_error_backtraces=0 setzen und alle Worker-Prozesse
neu starten. Ungültige oder veraltete INI-Einstellungen, die pro
Anfrage angewendet werden und vor der Initialisierung
Diagnosemeldungen erzeugen, sollten entfernt werden. Das
Unterdrücken dieser Meldungen über error_reporting, display_errors
oder @ ist nicht ausreichend. Weiters sollten von außen auslösbare
Fatal Errors und Ausführungs-Timeouts behoben werden.
Hinweis
Generell empfiehlt CERT.at, sämtliche Software aktuell zu halten und
dabei insbesondere auf automatische Updates zu setzen. Regelmäßige
Neustarts stellen sicher, dass diese auch zeitnah aktiviert werden.
__________________________________________________________________
Informationsquelle(n):
Security advisory: Critical remote code execution vulnerabilities,
update now (Englisch)
[109]https://www.php.net/index.php#2026-10-21-5
GitHub Security Advisory GHSA-w8hw-w9fx-j79w: RCE via OOM corruption
(Englisch)
[110]https://github.com/php/php-src/security/advisories/GHSA-w8hw-w9fx-
j79w
GitHub Security Advisory GHSA-6wmf-4rv5-p3rp: RCE via stale global
state (Englisch)
[111]https://github.com/php/php-src/security/advisories/GHSA-6wmf-4rv5-
p3rp
Mit freundlichen Grüßen,
Güneş Holler
--
// Güneş Holler <holler(a)cert.at> - T: +43 1 5056416 78
// CERT Austria - https://www.cert.at/
// CERT.at GmbH, FB-Nr. 561772k, HG Wien
15. Oktober 2026
Beschreibung
In der Funktion Advanced Malware Protection (AMP) von Cisco Secure
Email Gateway existiert eine kritische Sicherheitslücke. Die
Schwachstelle beruht auf einer fehlerhaften Verarbeitung von
E-Mail-Anhängen, wenn der File-Reputation-Dienst aktiviert ist. Laut
Cisco wird die Sicherheitslücke bereits aktiv ausgenutzt.
CVE-Nummer(n): CVE-2026-76519
CVSS Base Score: 9.8
Auswirkungen
Nicht authentifizierte Angreifer:innen können aus der Ferne durch das
Versenden einer E-Mail mit einem präparierten Anhang über ein
betroffenes Gerät beliebige Dateien auf dem zugrundeliegenden
Betriebssystem schreiben und Befehle mit root-Rechten ausführen. Damit
ist eine vollständige Kompromittierung des Geräts möglich. Mit diesen
Berechtigungen können Angreifer:innen zudem Spuren der Ausnutzung
entfernen.
Ist ein betroffenes Gerät Teil eines Clusters, können die zur
Authentifizierung zwischen den Cluster-Mitgliedern verwendeten privaten
SSH-Schlüssel ausgelesen und für die Kompromittierung weiterer
Cluster-Mitglieder verwendet werden.
Betroffene Systeme
Betroffen ist Cisco Secure Email Gateway (physisch und virtuell) mit
einer verwundbaren Version von Cisco AsyncOS, wenn beide der folgenden
Bedingungen erfüllt sind:
* Der File-Reputation-Dienst (Teil von Cisco AMP) ist aktiviert und
einer Mail Policy zugewiesen.
* Die Version der Content Scanner Tools ist älter als 25.3.0.5525.
Betroffene Cisco AsyncOS Releases für Cisco Secure Email Gateway:
* Release 15.5: Versionen vor 15.5.5-014
* Release 16.0: alle Versionen (kein Fix, Migration auf eine behobene
Version notwendig)
* Release 16.5: Versionen vor 16.5.0-780
Nicht betroffen sind laut Cisco Secure Email and Web Manager sowie
Secure Web Appliance.
Abhilfe
Cisco stellt folgende fehlerbereinigte Versionen bereit:
* Cisco AsyncOS 15.5.5-014
* Cisco AsyncOS 16.5.0-780
Cisco empfiehlt, Systeme mit Releases vor 16.5 auf 16.5.0-780 zu
migrieren.
Der Fix wird zusätzlich für alle lizenzierten und unterstützten
AsyncOS-Releases über ein Update der Content Scanner Tools verteilt.
Versionen ab 25.3.0.5525 enthalten den Fix. Das Update erfordert weder
ein Software-Upgrade noch einen Neustart. Bei aktivierten automatischen
Updates ist nach Einspielen des Updates keine weitere Aktion nötig,
andernfalls kann das Update über den CLI-Befehl contentscannerupdate
manuell angestoßen werden. Die installierte Version lässt sich mit
contentscannerstatus prüfen. Für Cisco Secure Email Cloud Gateway ist
laut Cisco keine Aktion erforderlich. Workarounds stehen nicht zur
Verfügung.
Da die Schwachstelle aktiv ausgenutzt wird, empfiehlt CERT.at,
betroffene Systeme auf Anzeichen einer Kompromittierung zu prüfen.
Cisco beschreibt dazu die Durchsuchung der system_logs nach Einträgen
mit „System Security“ (bei Clustern auf jedem Cluster-Mitglied).
Zusätzlich sollten Netzwerk- und Firewall-Logs außerhalb des Geräts auf
verdächtige Aktivitäten, etwa unerwartete Uploads vom Gerät zu externen
IP-Adressen, geprüft werden.
Bei Verdacht auf Kompromittierung einer physischen Appliance empfiehlt
Cisco die Kontaktaufnahme mit dem Cisco TAC. Bei virtuellen Appliances
empfiehlt Cisco, zunächst forensische Daten zu sichern (ein Upgrade
zerstört diese), eine neue virtuelle Maschine mit einer behobenen
Version aufzusetzen, die Konfiguration ohne Import alter
Konfigurationsdateien neu aufzubauen sowie sämtliche Zugangsdaten und
kryptographisches Material zu erneuern. Bei Clustern sollten alle
Mitglieder eines Clusters mit mindestens einem kompromittierten Gerät
neu aufgesetzt werden. Details finden sich im [105]Advisory des
Herstellers.
Hinweis
Generell empfiehlt CERT.at, sämtliche Software aktuell zu halten und
dabei insbesondere auf automatische Updates zu setzen. Regelmäßige
Neustarts stellen sicher, dass diese auch zeitnah aktiviert werden.
__________________________________________________________________
Informationsquelle(n):
Cisco Secure Email Gateway Arbitrary File Write Vulnerability
(Englisch)
https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdviso…
Cisco Secure Email Gateway and Secure Email and Web Manager Security
Hardening Release: September 2026 (Englisch)
https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdviso…
Mit freundlichen Grüßen,
Michael Schlagenhaufer
--
// Michael Schlagenhaufer <schlagenhaufer(a)cert.at> - T: +43 1 5056416 78
// CERT Austria - https://www.cert.at/
// CERT.at GmbH, FB-Nr. 561772k, HG Wien
09. Oktober 2026
Beschreibung
Citrix hat ein Security Bulletin zu einer kritischen Sicherheitslücke
in Citrix NetScaler ADC und Citrix NetScaler Gateway veröffentlicht. Es
handelt sich um einen Speicherüberlauf, der zur Ausführung von
beliebigem Code aus der Ferne (Remote Code Execution) oder zu einem
Denial-of-Service (DoS) führen kann. Voraussetzung ist, dass das Gerät
als SAML Service Provider (SP) oder SAML Identity Provider (IdP)
konfiguriert ist.
Betroffen sind auch Systeme, die bereits auf die für CVE-2026-88771 bis
CVE-2026-88778 beziehungsweise CVE-2026-88779 bereitgestellten
Versionen aktualisiert wurden, sofern sie als SAML IdP konfiguriert
sind.
Citrix sind nach eigenen Angaben zum Zeitpunkt der Veröffentlichung
keine Angriffe unter Ausnutzung dieser Schwachstelle bekannt.
CVE-Nummer(n): CVE-2026-107406
CVSS v4.0 Base Score: 9.5
Auswirkungen
Durch Ausnutzen der Schwachstelle können Angreifer:innen aus der Ferne
beliebigen Code auf betroffenen Geräten ausführen oder einen
Denial-of-Service-Zustand herbeiführen. Laut CVSS-Vektor sind dafür
weder eine Authentifizierung noch eine Interaktion von Benutzer:innen
erforderlich, die Angriffskomplexität wird als hoch eingestuft.
Da NetScaler-Systeme häufig als aus dem Internet erreichbare
Zugangspunkte eingesetzt werden, sind bei einer Kompromittierung auch
darüber laufende Daten sowie dahinterliegende Systeme gefährdet.
Betroffene Systeme
Betroffen sind von Kund:innen selbst verwaltete Installationen von
Citrix NetScaler ADC und Citrix NetScaler Gateway, die als SAML SP oder
SAML IdP konfiguriert sind. Welche Konfiguration betroffen ist, hängt
von der eingesetzten Version ab.
Betroffen bei Konfiguration als SAML IdP:
* NetScaler ADC und NetScaler Gateway 14.1-73.37 bis einschließlich
14.1-73.41
* NetScaler ADC 14.1-FIPS 14.1-73.37 FIPS bis einschließlich
14.1-73.41 FIPS
* NetScaler ADC und NetScaler Gateway 13.1-64.23 bis einschließlich
13.1-64.28
* NetScaler ADC 13.1-FIPS NDcPP 13.1-37.279 bis einschließlich
13.1-37.282
Betroffen bei Konfiguration als SAML SP oder SAML IdP:
* NetScaler ADC und NetScaler Gateway 14.1 vor 14.1-73.37
* NetScaler ADC 14.1-FIPS vor 14.1-73.37 FIPS
* NetScaler ADC und NetScaler Gateway 13.1 vor 13.1-64.23
* NetScaler ADC 13.1-FIPS NDcPP vor 13.1-37.279
Secure Private Access Hybrid-Installationen, die NetScaler-Instanzen
verwenden, sind ebenfalls betroffen. Von Citrix verwaltete
Cloud-Dienste sowie Citrix-managed Adaptive Authentication werden vom
Hersteller aktualisiert.
Abhilfe
Citrix stellt aktualisierte Versionen bereit, welche die Schwachstelle
beheben, und empfiehlt, diese so rasch wie möglich einzuspielen:
* NetScaler ADC und NetScaler Gateway 14.1-73.46 und neuere Versionen
* NetScaler ADC und NetScaler Gateway 13.1-64.29 und neuere Versionen
von 13.1
* NetScaler ADC 14.1-FIPS 14.1-73.46 FIPS und neuere Versionen von
14.1-FIPS
* NetScaler ADC 13.1-FIPS und 13.1-NDcPP 13.1-37.283 und neuere
Versionen von 13.1-FIPS und 13.1-NDcPP
Im Security Bulletin werden keine Workarounds oder Mitigationsmaßnahmen
genannt.
Ob ein Gerät die Voraussetzungen erfüllt, lässt sich anhand der
NetScaler-Konfiguration prüfen. Folgende Einträge weisen auf eine
entsprechende Konfiguration hin:
* SAML SP: „add authentication samlAction“
* SAML IdP: „add authentication samlIdPProfile“
Hinweis
Generell empfiehlt CERT.at, sämtliche Software aktuell zu halten und
dabei insbesondere auf automatische Updates zu setzen. Regelmäßige
Neustarts stellen sicher, dass diese auch zeitnah aktiviert werden.
__________________________________________________________________
Informationsquelle(n):
Citrix NetScaler ADC and Citrix NetScaler Gateway Security Bulletin for
CVE-2026-107406 (Englisch)
[105]https://support.citrix.com/external/article/CTX697191/citrix-netsc
aler-adc-and-citrix-netscale.html
Protecting Customers: Immediate Guidance for CVE-2026-107406 in
NetScaler ADC and NetScaler Gateway (Englisch)
[106]https://community.citrix.com/techzone-blogs/110_security-updates/p
rotecting-customers-immediate-guidance-for-cve-2026-107406-in-netscaler
-adc-and-netscaler-gateway-r1631/
Mit freundlichen Grüßen,
Güneş Holler
--
// Güneş Holler <holler(a)cert.at> - T: +43 1 5056416 78
// CERT Austria - https://www.cert.at/
// CERT.at GmbH, FB-Nr. 561772k, HG Wien