Kritische RCEs in PHP und GitLab sowie Kompromittierung der eMudhra CA

Die Woche vom 20. Oktober 2026 brachte eine Welle kritischer Sicherheitsvorfälle mit sich, die weit verbreitete Softwarekomponenten betrafen. Die PHP Foundation und GitLab veröffentlichten dringende Patches für Schwachstellen, die nicht authentifizierte Remote-Code-Ausführungen ermöglichten, während die indische Zertifizierungsstelle eMudhra ihre Tätigkeit einstellte, nachdem ihre privaten Schlüssel kompromittiert worden waren. Diese Ereignisse unterstreichen die Fragilität sowohl des Anwendungs-Codes als auch der Vertrauensinfrastruktur, die Web-Kommunikation absichert.

Was passiert ist

Zwei schwerwiegende Schwachstellen in PHP, verfolgt als CVE-2026-109618 und CVE-2026-109619, wurden unter dem Namen PHP2Shell bekannt gegeben. Diese Fehler ermöglichen es Angreifern, beliebigen Code auf Servern ohne Authentifizierung auszuführen. Nach der öffentlichen Offenlegung meldete Cloudflare die Erkennung von Millionen Scanning-Versuchen, die auf diese Schwachstellen abzielen. Obwohl noch keine erfolgreiche Ausnutzung bestätigt wurde, veranlasste das enorme Volumen der Proben und die allgegenwärtige Nutzung von PHP einige Website-Betreiber dazu, ihre Dienste vorsorglich vorübergehend offline zu nehmen.

Gleichzeitig erlitt das Vertrauensmodell für HTTPS-Zertifikate einen erheblichen Rückschlag. Acht Intermediate-CA-Zertifikate von eMudhra wurden gefunden, die kritisch schwache private Schlüssel verwendeten, was sie anfällig für Fälschung machte. Diese Kompromittierung bedeutete, dass Angreifer potenziell gültige Zertifikate für jede Domain ausstellen konnten, was Man-in-the-Middle-Angriffe ermöglichte. Als Reaktion darauf begannen große Browser wie Apples Safari, die betroffenen Zertifikate automatisch zu blockieren. Python aktualisierte zudem mehrere Pakete, darunter certifi und pip, um die kompromittierte emSign Root-CA aus ihren vertrauenswürdigen Bundles zu entfernen. Infolgedessen kündigte eMudhra seinen Rückzug aus dem Geschäft mit der Zertifikatsausstellung an.

Weitere bemerkenswerte Vorfälle umfassten die Entdeckung von Plex2Shell, einer Kette von vier Schwachstellen im Plex Media Server, die aktiv ausgenutzt wurden, um Kryptomining-Software bereitzustellen. GitLab patchte einen kritischen Integer-Overflow-Fehler, CVE-2026-110264, mit einem perfekten CVSS-Score von 10.0, der nicht authentifizierte Code-Ausführung ermöglichen konnte. Darüber hinaus wurde ein Supply-Chain-Angriff auf LiteLLM auf einen auf GitHub geleakten Master-Key zurückgeführt, was zu einer bösartigen Paketversion führte, die Zugangsdaten sammelte und Backdoors installierte.

Wichtige Details

• Die PHP2Shell-Schwachstellen (CVE-2026-109618, CVE-2026-109619) lösten Millionen von Scans aus, haben aber noch keine bestätigten erfolgreichen Exploits.
• eMudhra verließ den TLS-Zertifikatsmarkt, nachdem schwache private Schlüssel eine potenzielle Fälschung vertrauenswürdiger Zertifikate ermöglichten.
• Apple und Python aktualisierten ihre Systeme, um die kompromittierten emSign Root-CA-Zertifikate von eMudhra zu blockieren oder zu entfernen.
• GitLab behob CVE-2026-110264, einen kritischen Fehler zur Remote-Code-Ausführung mit einem CVSS-Score von 10.0, in mehreren aktuellen Versionen.
• Schwachstellen im Plex Media Server werden aktiv in freier Wildbahn ausgenutzt, um Miner und Proxy-Software zu installieren.
• Ein geleakter LiteLLM-Master-Key führte zu einem Supply-Chain-Angriff, bei dem bösartiger Code automatisch beim Start von Python ausgeführt wurde.

Hintergrund

Remote Code Execution (RCE) ist eine der gefährlichsten Arten von Sicherheitslücken. Sie ermöglicht es einem Angreifer, beliebige Befehle auf einem Server auszuführen, was ihm effektiv die volle Kontrolle über das System gibt. Wenn eine RCE nicht authentifiziert ist, bedeutet dies, dass der Angreifer keinen Benutzernamen oder kein Passwort benötigt, um sie auszunutzen, was sie besonders schwerwiegend macht. Aus diesem Grund werden Fehler wie PHP2Shell und der GitLab-Integer-Overflow mit höchster Dringlichkeit behandelt.

Certification Authorities (CAs) sind vertrauenswürdige Stellen, die digitale Zertifikate ausstellen, um die Identität von Websites zu überprüfen. Browser und Betriebssysteme führen eine Liste vertrauenswürdiger Root-CAs. Wenn der private Schlüssel einer CA schwach oder kompromittiert ist, können Angreifer gefälschte Zertifikate erstellen, die von Browsern als gültig akzeptiert werden. Dies bricht das Verschlüsselungs- und Vertrauensmodell von HTTPS auf und ermöglicht es Angreifern, den Datenverkehr zwischen Nutzern und Websites abzufangen und zu manipulieren, ohne Sicherheitswarnungen auszulösen.

Warum es wichtig ist

Für Teams, die selbst gehostete Software betreiben, stellen die PHP- und GitLab-Schwachstellen unmittelbare operative Risiken dar. Viele interne Tools, Dashboards und Entwicklungspipelines verlassen sich auf diese Plattformen. Eine nicht authentifizierte RCE bedeutet, dass Ihr Server, wenn er dem Internet ausgesetzt ist, auch nur kurzfristig, kompromittiert werden könnte, bevor Sie die Möglichkeit haben, ihn zu patchen. Das hohe Volumen der Scanning-Aktivitäten zeigt, dass automatisierte Bots bereits nach verwundbaren Instanzen suchen, was das Sicherheitsfenster für ungepatchte Systeme verkürzt.

Die Kompromittierung von eMudhra hebt ein Abhängigkeitsrisiko hervor, das oft übersehen wird. Selbst wenn Ihre eigene Infrastruktur sicher ist, verlassen Sie sich auf Drittanbieter-CAs für gültige TLS-Zertifikate. Wenn eine große CA kompromittiert wird, kann dies Dienste stören, wenn Browser ihre Zertifikate blockieren, oder schlimmer noch, Nutzer hochentwickelten Abfangangriffen aussetzen. Für IT-Manager unterstreicht dies die Notwendigkeit, nicht nur die eigenen Zertifikate, sondern auch den Vertrauensstatus der Aussteller selbst zu überwachen.

Supply-Chain-Angriffe, wie derjenige, der LiteLLM betraf, zeigen, dass Schwachstellen über Abhängigkeiten in Ihre Umgebung gelangen können, die Sie nicht direkt geschrieben haben. Ein einzelner geleakter Schlüssel kann Tausende von nachgelagerten Nutzern kompromittieren. Dies macht es unerlässlich, die Integrität von Paketen zu überprüfen und Secrets streng zu verwalten, insbesondere im Bereich KI und Entwicklungstools, wo API-Keys üblich sind.

Was Sie tun können

• Aktualisieren Sie PHP sofort auf die neueste gepatchte Version, um die PHP2Shell-Schwachstellen zu entschärfen.
• Führen Sie ein Upgrade von GitLab auf eine der behobenen Versionen durch (z. B. 19.5.1, 19.4.3), um den kritischen RCE-Fehler zu beheben.
• Prüfen Sie, ob Ihre Systeme eMudhra- oder emSign-Zertifikaten vertrauen, und entfernen Sie diese aus Ihren Trust Stores, falls vorhanden.
• Überprüfen Sie Ihre Plex Media Server-Installationen und wenden Sie Patches an, um aktive Ausnutzung durch Plex2Shell zu verhindern.
• Rotieren Sie alle API-Keys oder Secrets, die in LiteLLM oder ähnlichen Plattformen gespeichert sind, wenn sie vor dem 21. Oktober 2026 zugänglich waren.
• Überwachen Sie Ihren ausgehenden Netzwerk-Traffic auf ungewöhnliche Verbindungen, die auf einen kompromittierten Server hinweisen könnten, der Daten nach außen sendet.