cert warnungen

• Kritische Sicherheitslücken in PHP - Updates verfügbar

  21. Oktober 2026

  Beschreibung

  In PHP existieren zwei kritische Sicherheitslücken, deren Ausnutzung es nicht authentifizierten Angreifer:innen ermöglichen kann, aus der Ferne beliebigen Code auszuführen. Betroffen sind laut PHP-Projekt alle PHP-Installationen, die Web-Anfragen verarbeiten, darunter PHP-FPM, Apache mit mod_php, php-cgi, FrankenPHP und LiteSpeed.

  Bei CVE-2026-109618 kann die Behandlung von Out-of-Memory-Zuständen (OOM) PHP unterbrechen, während interne Anfragedaten nur teilweise initialisiert sind. Beim anschließenden Beenden der Anfrage werden diese ungültigen Daten als gültig verarbeitet. Bei CVE-2026-109619 kann anfragebezogener interner Zustand bestehen bleiben, nachdem der zugehörige Speicher bereits freigegeben wurde (Use-after-free). Eine spätere Anfrage, die vom selben Worker-Prozess verarbeitet wird, kann diesen veralteten Zustand vor der regulären Initialisierung verwenden.

  CVE-Nummer(n): CVE-2026-109618, CVE-2026-109619

  CVSS v4.0 Base Score: 9.2

  Auswirkungen

  Durch Ausnutzen der Schwachstellen können Angreifer:innen ohne Authentifizierung aus der Ferne beliebigen Code mit den Rechten des Benutzerkontos ausführen, unter dem der Webserver- bzw. PHP-Worker-Prozess läuft. CVE-2026-109619 ermöglicht zusätzlich das Auslesen von Speicherinhalten.

  Das PHP-Projekt stuft das Risiko für Apache mit mod_php am höchsten ein: Für diese Konfiguration wurde eine Ausnutzung demonstriert, bei der eine nicht authentifizierte Anfrage den Angriff auslöst, bevor Anwendungscode ausgeführt wird. Für CVE-2026-109619 wurde die Codeausführung zusätzlich gegen PHP-FPM validiert. Angaben zu einer aktiven Ausnutzung macht das PHP-Projekt nicht.

  Betroffene Systeme

  • PHP 8.5 vor Version 8.5.12
  • PHP 8.4 vor Version 8.4.27
  • PHP 8.3 vor Version 8.3.36
  • PHP 8.2 vor Version 8.2.35
  • PHP 8.1 und ältere Versionen (End of Life)

  Abhilfe

  Das PHP-Projekt stellt mit den Versionen 8.5.12, 8.4.27, 8.3.36 und 8.2.35 Updates bereit, welche die Schwachstellen beheben. Laut Hersteller ist ausschließlich ein Update eine vollständige Abhilfe. Linux-Distributionen und LTS-Anbieter haben die Patches vorab erhalten; aktualisierte Pakete sind über die jeweiligen Anbieter zu beziehen. Für das Repository rpms.remirepo.net sind laut PHP-Projekt am 21. Oktober 2026 keine Updates verfügbar. Betreiber:innen, die dieses Repository nutzen, wird empfohlen, auf Distributionspakete umzusteigen oder PHP aus dem Quellcode zu bauen.

  PHP 8.1 und ältere Versionen erhalten keine Updates mehr vom PHP-Projekt. Einige Distributionen und LTS-Anbieter stellen zurückportierte Fixes bereit. Zusätzlich hat das PHP-Projekt minimale Quellcode-Backports für PHP 7.4, PHP 8.0 und PHP 8.1 veröffentlicht. Ein Upgrade auf eine unterstützte Version wird empfohlen. PHP 8.2 erreicht am 31. Dezember 2026 das End of Life.

  Falls ein sofortiges Update nicht möglich ist, reduzieren folgende Maßnahmen die Angriffsfläche für einzelne bekannte Angriffswege. Sie bieten jedoch keinen vollständigen Schutz:

  • CVE-2026-109618: memory_limit=-1 so setzen, dass Anwendungen den Wert nicht überschreiben können (z. B. per php_admin_value in der FPM-Pool- oder Apache-Konfiguration). Einen niedrigen Wert für post_max_size setzen (8M ohne Datei-Uploads, 32M mit Datei-Uploads) und upload_max_filesize darunter halten. Zusätzlich können Begrenzungen auf Webserver- bzw. Proxy-Ebene (u. a. Anfragegröße, Anzahl der Eingabefelder, Multipart-Teile und Header) gesetzt werden. Container- oder cgroup-Speicherlimits können als Verfügbarkeitsgrenze dienen; RLIMIT_AS und RLIMIT_DATA sollten nicht verwendet werden, da diese die verwundbare Speicherallokation auslösen können.
  • CVE-2026-109619: session.upload_progress.enabled=0 in php.ini, in der FPM-Pool- oder Serverkonfiguration setzen (nicht über ini_set() oder .user.ini) und alle Worker-Prozesse neu starten. Unter PHP 8.5 zusätzlich fatal_error_backtraces=0 setzen und alle Worker-Prozesse neu starten. Ungültige oder veraltete INI-Einstellungen, die pro Anfrage angewendet werden und vor der Initialisierung Diagnosemeldungen erzeugen, sollten entfernt werden. Das Unterdrücken dieser Meldungen über error_reporting, display_errors oder @ ist nicht ausreichend. Weiters sollten von außen auslösbare Fatal Errors und Ausführungs-Timeouts behoben werden.

  Hinweis

  Generell empfiehlt CERT.at, sämtliche Software aktuell zu halten und dabei insbesondere auf automatische Updates zu setzen. Regelmäßige Neustarts stellen sicher, dass diese auch zeitnah aktiviert werden.

  ---

  Informationsquelle(n):

  Security advisory: Critical remote code execution vulnerabilities, update now (Englisch)
  https://www.php.net/index.php#2026-10-21-5

  GitHub Security Advisory GHSA-w8hw-w9fx-j79w: RCE via OOM corruption (Englisch)
  https://github.com/php/php-src/security/advisories/GHSA-w8hw-w9fx-j79w

  GitHub Security Advisory GHSA-6wmf-4rv5-p3rp: RCE via stale global state (Englisch)
  https://github.com/php/php-src/security/advisories/GHSA-6wmf-4rv5-p3rp

• Kritische Sicherheitslücke in Cisco Secure Email Gateway - aktiv ausgenutzt - Updates verfügbar - CVE-2026-76519

  15. Oktober 2026

  Beschreibung

  In der Funktion Advanced Malware Protection (AMP) von Cisco Secure Email Gateway existiert eine kritische Sicherheitslücke. Die Schwachstelle beruht auf einer fehlerhaften Verarbeitung von E-Mail-Anhängen, wenn der File-Reputation-Dienst aktiviert ist. Laut Cisco wird die Sicherheitslücke bereits aktiv ausgenutzt.

  CVE-Nummer(n): CVE-2026-76519

  CVSS Base Score: 9.8

  Auswirkungen

  Nicht authentifizierte Angreifer:innen können aus der Ferne durch das Versenden einer E-Mail mit einem präparierten Anhang über ein betroffenes Gerät beliebige Dateien auf dem zugrundeliegenden Betriebssystem schreiben und Befehle mit root-Rechten ausführen. Damit ist eine vollständige Kompromittierung des Geräts möglich. Mit diesen Berechtigungen können Angreifer:innen zudem Spuren der Ausnutzung entfernen.

  Ist ein betroffenes Gerät Teil eines Clusters, können die zur Authentifizierung zwischen den Cluster-Mitgliedern verwendeten privaten SSH-Schlüssel ausgelesen und für die Kompromittierung weiterer Cluster-Mitglieder verwendet werden.

  Betroffene Systeme

  Betroffen ist Cisco Secure Email Gateway (physisch und virtuell) mit einer verwundbaren Version von Cisco AsyncOS, wenn beide der folgenden Bedingungen erfüllt sind:

  • Der File-Reputation-Dienst (Teil von Cisco AMP) ist aktiviert und einer Mail Policy zugewiesen.
  • Die Version der Content Scanner Tools ist älter als 25.3.0.5525.

  Betroffene Cisco AsyncOS Releases für Cisco Secure Email Gateway:

  • Release 15.5: Versionen vor 15.5.5-014
  • Release 16.0: alle Versionen (kein Fix, Migration auf eine behobene Version notwendig)
  • Release 16.5: Versionen vor 16.5.0-780

  Nicht betroffen sind laut Cisco Secure Email and Web Manager sowie Secure Web Appliance.

  Abhilfe

  Cisco stellt folgende fehlerbereinigte Versionen bereit:

  • Cisco AsyncOS 15.5.5-014
  • Cisco AsyncOS 16.5.0-780

  Cisco empfiehlt, Systeme mit Releases vor 16.5 auf 16.5.0-780 zu migrieren.

  Der Fix wird zusätzlich für alle lizenzierten und unterstützten AsyncOS-Releases über ein Update der Content Scanner Tools verteilt. Versionen ab 25.3.0.5525 enthalten den Fix. Das Update erfordert weder ein Software-Upgrade noch einen Neustart. Bei aktivierten automatischen Updates ist nach Einspielen des Updates keine weitere Aktion nötig, andernfalls kann das Update über den CLI-Befehl contentscannerupdate manuell angestoßen werden. Die installierte Version lässt sich mit contentscannerstatus prüfen. Für Cisco Secure Email Cloud Gateway ist laut Cisco keine Aktion erforderlich. Workarounds stehen nicht zur Verfügung.

  Da die Schwachstelle aktiv ausgenutzt wird, empfiehlt CERT.at, betroffene Systeme auf Anzeichen einer Kompromittierung zu prüfen. Cisco beschreibt dazu die Durchsuchung der system_logs nach Einträgen mit „System Security“ (bei Clustern auf jedem Cluster-Mitglied). Zusätzlich sollten Netzwerk- und Firewall-Logs außerhalb des Geräts auf verdächtige Aktivitäten, etwa unerwartete Uploads vom Gerät zu externen IP-Adressen, geprüft werden.

  Bei Verdacht auf Kompromittierung einer physischen Appliance empfiehlt Cisco die Kontaktaufnahme mit dem Cisco TAC. Bei virtuellen Appliances empfiehlt Cisco, zunächst forensische Daten zu sichern (ein Upgrade zerstört diese), eine neue virtuelle Maschine mit einer behobenen Version aufzusetzen, die Konfiguration ohne Import alter Konfigurationsdateien neu aufzubauen sowie sämtliche Zugangsdaten und kryptographisches Material zu erneuern. Bei Clustern sollten alle Mitglieder eines Clusters mit mindestens einem kompromittierten Gerät neu aufgesetzt werden. Details finden sich im Advisory des Herstellers.

  Hinweis

  Generell empfiehlt CERT.at, sämtliche Software aktuell zu halten und dabei insbesondere auf automatische Updates zu setzen. Regelmäßige Neustarts stellen sicher, dass diese auch zeitnah aktiviert werden.

  ---

  Informationsquelle(n):

  Cisco Secure Email Gateway Arbitrary File Write Vulnerability (Englisch)
  https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-esa-afw-zqYJkjxp

  Cisco Secure Email Gateway and Secure Email and Web Manager Security Hardening Release: September 2026 (Englisch)
  https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-hardening-esa-dfCrfXkm

• Weitere kritische Sicherheitslücke in Citrix NetScaler ADC und NetScaler Gateway - Updates verfügbar

  09. Oktober 2026

  Beschreibung

  Citrix hat ein Security Bulletin zu einer kritischen Sicherheitslücke in Citrix NetScaler ADC und Citrix NetScaler Gateway veröffentlicht. Es handelt sich um einen Speicherüberlauf, der zur Ausführung von beliebigem Code aus der Ferne (Remote Code Execution) oder zu einem Denial-of-Service (DoS) führen kann. Voraussetzung ist, dass das Gerät als SAML Service Provider (SP) oder SAML Identity Provider (IdP) konfiguriert ist.

  Betroffen sind auch Systeme, die bereits auf die für CVE-2026-88771 bis CVE-2026-88778 beziehungsweise CVE-2026-88779 bereitgestellten Versionen aktualisiert wurden, sofern sie als SAML IdP konfiguriert sind.

  Citrix sind nach eigenen Angaben zum Zeitpunkt der Veröffentlichung keine Angriffe unter Ausnutzung dieser Schwachstelle bekannt.

  CVE-Nummer(n): CVE-2026-107406

  CVSS v4.0 Base Score: 9.5

  Auswirkungen

  Durch Ausnutzen der Schwachstelle können Angreifer:innen aus der Ferne beliebigen Code auf betroffenen Geräten ausführen oder einen Denial-of-Service-Zustand herbeiführen. Laut CVSS-Vektor sind dafür weder eine Authentifizierung noch eine Interaktion von Benutzer:innen erforderlich, die Angriffskomplexität wird als hoch eingestuft.

  Da NetScaler-Systeme häufig als aus dem Internet erreichbare Zugangspunkte eingesetzt werden, sind bei einer Kompromittierung auch darüber laufende Daten sowie dahinterliegende Systeme gefährdet.

  Betroffene Systeme

  Betroffen sind von Kund:innen selbst verwaltete Installationen von Citrix NetScaler ADC und Citrix NetScaler Gateway, die als SAML SP oder SAML IdP konfiguriert sind. Welche Konfiguration betroffen ist, hängt von der eingesetzten Version ab.

  Betroffen bei Konfiguration als SAML IdP:

  • NetScaler ADC und NetScaler Gateway 14.1-73.37 bis einschließlich 14.1-73.41
  • NetScaler ADC 14.1-FIPS 14.1-73.37 FIPS bis einschließlich 14.1-73.41 FIPS
  • NetScaler ADC und NetScaler Gateway 13.1-64.23 bis einschließlich 13.1-64.28
  • NetScaler ADC 13.1-FIPS NDcPP 13.1-37.279 bis einschließlich 13.1-37.282

  Betroffen bei Konfiguration als SAML SP oder SAML IdP:

  • NetScaler ADC und NetScaler Gateway 14.1 vor 14.1-73.37
  • NetScaler ADC 14.1-FIPS vor 14.1-73.37 FIPS
  • NetScaler ADC und NetScaler Gateway 13.1 vor 13.1-64.23
  • NetScaler ADC 13.1-FIPS NDcPP vor 13.1-37.279

  Secure Private Access Hybrid-Installationen, die NetScaler-Instanzen verwenden, sind ebenfalls betroffen. Von Citrix verwaltete Cloud-Dienste sowie Citrix-managed Adaptive Authentication werden vom Hersteller aktualisiert.

  Abhilfe

  Citrix stellt aktualisierte Versionen bereit, welche die Schwachstelle beheben, und empfiehlt, diese so rasch wie möglich einzuspielen:

  • NetScaler ADC und NetScaler Gateway 14.1-73.46 und neuere Versionen
  • NetScaler ADC und NetScaler Gateway 13.1-64.29 und neuere Versionen von 13.1
  • NetScaler ADC 14.1-FIPS 14.1-73.46 FIPS und neuere Versionen von 14.1-FIPS
  • NetScaler ADC 13.1-FIPS und 13.1-NDcPP 13.1-37.283 und neuere Versionen von 13.1-FIPS und 13.1-NDcPP

  Im Security Bulletin werden keine Workarounds oder Mitigationsmaßnahmen genannt.

  Ob ein Gerät die Voraussetzungen erfüllt, lässt sich anhand der NetScaler-Konfiguration prüfen. Folgende Einträge weisen auf eine entsprechende Konfiguration hin:

  • SAML SP: „add authentication samlAction“
  • SAML IdP: „add authentication samlIdPProfile“

  Hinweis

  Generell empfiehlt CERT.at, sämtliche Software aktuell zu halten und dabei insbesondere auf automatische Updates zu setzen. Regelmäßige Neustarts stellen sicher, dass diese auch zeitnah aktiviert werden.

  ---

  Informationsquelle(n):

  Citrix NetScaler ADC and Citrix NetScaler Gateway Security Bulletin for CVE-2026-107406 (Englisch)
  https://support.citrix.com/external/article/CTX697191/citrix-netscaler-adc-and-citrix-netscale.html

  Protecting Customers: Immediate Guidance for CVE-2026-107406 in NetScaler ADC and NetScaler Gateway (Englisch)
  https://community.citrix.com/techzone-blogs/110_security-updates/protecting-customers-immediate-guidance-for-cve-2026-107406-in-netscaler-adc-and-netscaler-gateway-r1631/

• Kritische Sicherheitslücken in Citrix NetScaler ADC und NetScaler Gateway - aktiv ausgenutzt - Updates verfügbar

  27. September 2026

  Beschreibung

  In Citrix NetScaler ADC und Citrix NetScaler Gateway existieren mehrere Sicherheitslücken, darunter zwei kritische Schwachstellen, die die Ausführung von beliebigem Code ermöglichen. Laut Hersteller werden CVE-2026-88771 und CVE-2026-88772 bereits aktiv ausgenutzt.

  CVE-Nummer(n): CVE-2026-88771, CVE-2026-88772, CVE-2026-88773, CVE-2026-88774, CVE-2026-88775, CVE-2026-88776, CVE-2026-88777, CVE-2026-88778

  CVSS v4.0 Base Scores: bis zu 9.5 (kritisch)

  Auswirkungen

  CVE-2026-88771 ermöglicht es nicht authentifizierten Angreifer:innen aus der Ferne, aufgrund unzureichender Eingabevalidierung beliebige Befehle auszuführen. Laut Hersteller sind alle Installationen von NetScaler ADC und NetScaler Gateway betroffen, auch in der Standardkonfiguration.

  CVE-2026-88772 ist ein Speicherüberlauf, der zur Ausführung von beliebigem Code oder zu Denial-of-Service führen kann. Voraussetzung ist eine aktivierte DTLS-Konfiguration; auf VPN-Virtual-Servern ist DTLS standardmäßig aktiviert.

  Die weiteren Schwachstellen ermöglichen HTTP Request Smuggling (CVE-2026-88773), die Umgehung von Richtlinien mit HTTP-URL-basierten Ausdrücken (CVE-2026-88774), Denial-of-Service oder fehlerhaftes Verhalten durch Speicherüberläufe (CVE-2026-88775, CVE-2026-88776, CVE-2026-88777) sowie die Vorhersage von TCP Initial Sequence Numbers (CVE-2026-88778). Sie setzen jeweils bestimmte Konfigurationen voraus, u. a. den Betrieb als Gateway (SSL VPN, ICA Proxy, CVPN, RDP Proxy) oder AAA-Virtual-Server, Load-Balancing-Virtual-Server vom Typ Oracle oder aktivierte Nicht-HTTP-Layer-7-Protokollfunktionen (z. B. FTP, RTSP, DNS64, NAT64). Die genauen Voraussetzungen sowie Anleitungen zur Überprüfung der eigenen Konfiguration finden sich im Advisory des Herstellers.

  Betroffene Systeme

  • Citrix NetScaler ADC und Citrix NetScaler Gateway 14.1 vor 14.1-73.37
  • Citrix NetScaler ADC und Citrix NetScaler Gateway 13.1 vor 13.1-64.23
  • Citrix NetScaler ADC 14.1-FIPS vor 14.1-73.37 FIPS
  • Citrix NetScaler ADC 13.1-FIPS und 13.1-NDcPP vor 13.1-37.279

  Ebenfalls betroffen sind Secure-Private-Access-Hybrid-Installationen, die NetScaler-Instanzen verwenden. Das Advisory gilt nur für kundenseitig verwaltete Installationen; von Citrix verwaltete Cloud-Dienste sowie Adaptive Authentication werden vom Hersteller aktualisiert.

  Abhilfe

  Citrix stellt Updates bereit, welche die Schwachstellen beheben: Version 14.1-73.37 bzw. 13.1-64.23 für NetScaler ADC und NetScaler Gateway sowie 14.1-73.37 FIPS bzw. 13.1-37.279 für die FIPS- und NDcPP-Varianten. Aufgrund der aktiven Ausnutzung wird dringend empfohlen, die Updates umgehend einzuspielen. Dies gilt auch für NetScaler-Instanzen in Secure-Private-Access-Hybrid-Installationen.

  Für von CVE-2026-88778 betroffene Systeme empfiehlt der Hersteller zusätzlich, die Option „Enhanced ISN Generation“ zu aktivieren (set ns tcpparam -enhancedISNgeneration ENABLED). Details finden sich in der Dokumentation des Herstellers.

  Aufgrund der aktiven Ausnutzung empfiehlt CERT.at zudem, betroffene Systeme auf Anzeichen einer Kompromittierung zu überprüfen.

  Hinweis

  Generell empfiehlt CERT.at, sämtliche Software aktuell zu halten und dabei insbesondere auf automatische Updates zu setzen. Regelmäßige Neustarts stellen sicher, dass diese auch zeitnah aktiviert werden.

  ---

  Informationsquelle(n):

  Citrix NetScaler ADC and Citrix NetScaler Gateway Security Bulletin for CVE-2026-88771, CVE-2026-88772, CVE-2026-88773, CVE-2026-88774, CVE-2026-88775, CVE-2026-88776, CVE-2026-88777, and CVE-2026-88778 (Englisch)
  https://support.citrix.com/support-home/kbsearch/article?articleNumber=CTX697096

  TCP configurations – Enhanced ISN generation (Englisch)
  https://docs.netscaler.com/en-us/citrix-adc/current-release/system/tcp-configurations.html#enhanced-isn-generation

• Aktive Ausnutzung: Kritische Sicherheitslücke in F5 BIG-IP APM (CVE-2026-94127)

  24. September 2026

  Beschreibung

  In der OAuth Komponente von F5 BIG-IP APM existiert eine kritische Schwachstelle, welche dass unauthentifizierte Ausführen von Schadcode aus der Ferne erlaubt. Betroffen sind Systeme, welche BIG-IP APM als Authorisierungsserver via OAuth-Funktionalität nutzen.

  Es liegen Informationen vor, dass diese Lücke bereits aktiv ausgenutzt wird, daher empfiehlt sich die Überprüfung der eigenen Instanzen auf etwaige Indicators of Compromise, welche ebenfalls im veröffentlichten Advisory enthalten sind.

  CVE-Nummer(n): CVE-2026-94127

  CVSS v4.0 Base Score: 9.3

  Auswirkungen

  AngreiferInnen können die Lücke durch setzen eines zu langen Authorization-Headers trivial ausnutzen. Die Ausnutzung der Lücke, mithilfe einer speziell präparierten Anfrage, führt zur unauthentifizierten Ausführung von Befehlen.

  Betroffene Systeme

  • BIG-IP APM
    • Version 21.1.0
  • BIG-IP APM
    • Version 17.5.0 - 17.5.1
    • Version 17.1.0 - 17.1.3

  Abhilfe

  F5 stellt Hotfixes bereit, die die Sicherheitslücke schließen. Sollten Updates nicht zeitnahe eingespielt werden können, empfiehlt F5 zur zwischenzeitlichen Mitigation das Erstellen einer iRule welche über den Support bezogen werden kann.

  Hinweis

  Generell empfiehlt CERT.at, sämtliche Software aktuell zu halten und dabei insbesondere auf automatische Updates zu setzen. Regelmäßige Neustarts stellen sicher, dass diese auch zeitnah aktiviert werden.

  ---

  Informationsquelle(n):

  K000162605: BIG-IP APM vulnerability CVE-2026-94127
  https://my.f5.com/manage/s/article/K000162605

  Is This A Joke? In The Auth Header? (F5 BIG-IP UnAuth Heap-Overflow to RCE CVE-2026-94127)
  https://labs.watchtowr.com/is-this-a-joke-in-the-auth-header-f5-big-ip-unauth-heap-overflow-to-rce-cve-2026-94127/