Hotfix für CVE-2026-109618 und CVE-2026-109619

Zwei Lücken in PHP erlauben Angreifern ohne Anmeldung, Code auf dem Webserver auszuführen. Bestätigt ist das für mod_php und PHP-FPM.

• GHSA-w8hw-w9fx-j79w: Abbruch bei Speichermangel, während der Request erst halb initialisiert ist.
• GHSA-6wmf-4rv5-p3rp: veralteter Zustand zwischen zwei Requests desselben Workers.

Roll-out mit fertigem Image

1. Image laden und prüfen

curl -fO https://cve-fix.ber.neska.io/downloads/images/php-7.3-fpm-alpine-cve2026.tar.gz
curl -fO https://cve-fix.ber.neska.io/downloads/SHA256SUMS
grep php-7.3-fpm-alpine-cve2026.tar.gz SHA256SUMS | sed 's#./images/##' | sha256sum -c -
docker load < php-7.3-fpm-alpine-cve2026.tar.gz

Danach steht lokal cve-fix/php:7.3-fpm-alpine-cve2026 bereit. Wir empfehlen, das Image einmal in Ihre Registry zu übertragen und von dort zu verteilen.

2. Anwendung umstellen

# vorher
FROM php:7.3-fpm-alpine
# nachher
FROM cve-fix/php:7.3-fpm-alpine-cve2026

Bauen Sie das Anwendungs-Image neu. Extensions über docker-php-ext-install funktionieren wie gewohnt. Rollen Sie es aus und starten Sie alle PHP-Container neu.

3. Kontrolle

docker run --rm <image> php -r 'var_dump(ini_get("max_multipart_body_parts"));'
# erwartet: string(2) "-1"   (in 7.3, 7.4 und 8.0 gibt es diese Option nur mit Patch)

Das Build-Kit enthält zusätzlich fpm-test.sh und apache-test.sh. Sie prüfen, dass das Image Upload-Fortschritt nicht mehr in die Session schreibt.

Downloads

Fertige Images für docker load

Build-Kit, Patches, Build-Ergebnisse

Alle Prüfsummen: SHA256SUMS · Verzeichnis

curl -fsSL https://cve-fix.ber.neska.io/downloads/php-cve-build.tar.gz | tar xz
cd php-cve-build
./build.sh php:7.3-fpm-alpine \
  registry.example.com/php:7.3-fpm-alpine-cve2026

• Unterstützt php:7.3.33, 7.4.33, 8.0.30 und 8.1.34, jeweils Alpine oder Debian, FPM, Apache oder CLI.
• Der Build läuft im Basis-Image selbst. Der Quell-Tarball wird gegen PHP_SHA256 geprüft, und ./configure nutzt exakt die Optionen des Originals.
• Ins Endimage kommen nur neu gebaute Binaries, Module und Header. php.ini, FPM- und Apache-Konfiguration bleiben unverändert.
• Optionen: JOBS=16 (Compiler-Jobs), RUN_TESTS=1 (PHP-Testsuite gepatcht und ungepatcht).
• Voraussetzungen: Docker und Internetzugang. Dauer auf 4 Kernen etwa 5 bis 10 Minuten pro Image.

Verhaltensänderungen durch den Patch

• Speicherlimit überschritten: Der Worker beendet sich sofort. Der Client erhält keine Antwort, hinter nginx also den Status 502. Die Fehlermeldung steht nur noch im FPM- bzw. Container-Log. Shutdown-Funktionen und Fatal-Handler von Frameworks wie Symfony laufen in diesem Fall nicht mehr.
• session.upload_progress hat keine Wirkung mehr, auch wenn die Option eingeschaltet ist.
• Neue INI-Option max_multipart_body_parts. Der Standardwert -1 entspricht max_input_vars + max_file_uploads. Weitere Multipart-Teile werden mit einer Warnung verworfen.

Tests

Getestet wurden Zend/tests, tests/basic, tests/lang und ext/session/tests, jeweils gepatcht und ungepatcht. Abweichungen gibt es nur dort, wo der Patch das Verhalten bewusst ändert: bei ext/session/tests/rfc1867* und bei den Speicherlimit-Tests tests/lang/bug45392 bzw. unter 8.1 Zend/tests/gh11189* und fibers/get-return-after-bailout.

• 7.4, 8.0, 8.1: unverändert aus den php-src-Branches PHP-x.y-CVE-2026-109618-109619 (Commits 712e60f9ed, 82f8f31b16, 1d7dec178a).
• 7.3: Backport des 7.4-Patches durch appwerke. Die Overflow-Prüfungen der CONCAT-Handler wurden ergänzt, der Shutdown-Reset an PHP 7.3 angepasst und ZSTR_MAX_LEN aus 7.4 übernommen.