Können wir Ihnen behilflich sein?
Sicherheitshinweis: PHP-Schwachstelle
CVE-2026-109618 und CVE-2026-109619
30. Oktober 2026
Überblick
Keysight ist sich zweier kritischer Sicherheitslücken (CVE-2026-109618 und CVE-2026-109619 ) in der Skriptsprache PHP bewusst, die die Ausführung von Schadcode aus der Ferne (RCE) ermöglichen können. Beide wurden am 21. Oktober 2026 öffentlich bekannt gegeben und vom PHP-Projekt gemäß CVSS v4.0 mit 9,2 (kritisch) bewertet. Es wurden bereits Versuche zur Ausnutzung dieser Sicherheitslücken gemeldet.
CVE-2026-109618 betrifft eine fehlerhafte Behandlung von Speichermangelzuständen, die dazu führen kann, dass der Speicher einer Anfrage in einem ungültigen oder nur teilweise initialisierten Zustand verbleibt. Dies kann potenziell zu Speicherbeschädigungen während der Bereinigung der Anfrage und zu Remote Code Execution (RCE) führen. CVE-2026-109619 betrifft einen PHP-Anfragestatus, der möglicherweise weiterhin auf Speicher verweist, nachdem dieser freigegeben wurde. Eine nachfolgende Anfrage auf demselben Worker kann diesen veralteten Zustand verwenden, bevor er vollständig initialisiert ist, was ebenfalls zu RCE führen kann. Das PHP-Projekt hat in den Versionen 8.5.12, 8.4.27, 8.3.36 und 8.2.35 Korrekturen veröffentlicht.
Stand 27. Oktober prüft Keysight weiterhin die potenziellen Auswirkungen dieser Sicherheitslücken auf sein gesamtes Produktportfolio. Nach bisherigen Prüfungen sind die meisten Keysight-Produkte für IP-Traffic, Wireless- und Sicherheitsemulatoren sowie Netzwerkbetriebsüberwachung (ehemals Ixia NAS) nicht betroffen¹, da sie entweder kein PHP verwenden oder die betroffene PHP-Komponente aus der jeweiligen Softwareversion entfernt wurde. Für die betroffenen Produkte enthält die folgende Liste den Status der jeweiligen Sicherheitslücke sowie empfohlene Abhilfe- oder Minderungsmaßnahmen.
Betroffene Produkte, Abhilfemaßnahmen und empfohlene Vorgehensweise
| Betroffenes Produkt | Milderung | Empfohlene Maßnahmen |
|---|---|---|
| Hawkeye – Möglicherweise betroffen von CVE-2026-109619. Hawkeye verwendet PHP 8.2.33 mit Nginx. Die Entwicklungsabteilung hat festgestellt, dass Hawkeye nicht von CVE-2026-109618 betroffen ist. Eine Gefährdung durch CVE-2026-109619 gilt als unwahrscheinlich, kann aber nicht gänzlich ausgeschlossen werden. | Keysight bereitet ein Update auf PHP 8.2.35 in der Version v6.1.1-101 vor. | Kunden sollten den Keysight-Support im Auge behalten und das entsprechende Software-Update installieren, sobald es verfügbar ist. |
| iBypass HD – Sicherheitslücke bei aktiviertem Webserver. iBypass HD verwendet PHP 5.6.31. Die Entwicklung des Produkts wurde eingestellt, und es ist keine neue Softwareversion geplant. | Der Webserver ist standardmäßig deaktiviert. Falls er explizit aktiviert wurde, deaktivieren Sie ihn mit dem unter „Empfohlene Vorgehensweise“ aufgeführten CLI-Befehl. | Kunden sollten den Webserver deaktiviert lassen. Falls der Webserver aktiviert war, deaktivieren Sie ihn über die Befehlszeile mit folgendem Befehl: websrv set admin=disable |
Als nicht anfällig eingestufte Produkte
| Als nicht anfällig eingestufte Produkte | Empfohlene Maßnahmen |
|---|---|
| Vision Network Packet Broker mit NVOS 6.6.0 oder neuer Die entsprechende PHP-Komponente wurde ab Version 6.6.0 entfernt. Diese Bewertung umfasst Vision 7300, Vision Edge 10S (E10S), Vision Edge 40 (E40), Vision Edge 50 (E50), Vision Edge 100 (E100), Vision 7712, Vision 7816, Vision X, Vision ONE, TradeVision, Vision 400, Vision Edge 400P (E400P), Vision 400XT (V400XT), Vision X 400G (VX 400G), Vision Edge OS - 9516 (9516), Vision Edge 400P Rev2 (E400P Rev2) und Vision Edge 400S (E400S). | Kunden sollten sicherstellen, dass auf ihren Systemen NVOS 6.6.0 oder neuer installiert ist. Kunden, die eine ältere Version verwenden, sollten sich für spezifische Anweisungen an den Keysight-Support wenden. |
Vision Industrial Network Packet Broker | Es ist kein Handeln erforderlich. |
| Visibility Software und Cloud-Produkte Keysight Vision Orchestrator (KVO), Virtual Packet Broker (vPB), 5G Service-Based Interface (5G SBI), CloudLens vTAP, AppStack und TimeKeeper verwenden kein PHP. | Es ist kein Handeln erforderlich. |
| iBypass- und iLinkAgg-Produkte IXPR-CU3, IXTP-CU3, IXBP-CU3, iBypass DUO, iBypass 100G, iBypass VHD und iLinkAgg2 verwenden kein PHP. Die übrigen bewerteten Produkte verwenden entweder kein PHP oder bieten keine PHP-basierte grafische Benutzeroberfläche. | Es ist kein Handeln erforderlich. |
| ThreatARMOR-Produkte | Es ist kein Handeln erforderlich. |
| IFC-CM (Indigo Pro) | Es ist kein Handeln erforderlich. |
| Netzwerktestprodukte IxNetwork verwendet keine PHP Web Runtime; IxNetwork VE/Virtual Editions und BreakingPoint VE sind nicht anfällig; IxLoad, CyPerf, BreakingPoint System (BPS), IxOS, IxVeriwave, LoadCore und KCOS verwenden kein PHP. | Es ist kein Handeln erforderlich. |
Für Produkte oder Releases, die nicht explizit aufgeführt sind, wenden Sie sich bitte an den Keysight-Support, um eine produktspezifische Bewertung zu erhalten.
Details zur Schwachstelle
| CVE | Beschreibung | CVSS v4.0 | In PHP behoben |
|---|---|---|---|
| CVE-2026-109618 | Remote Codeausführung durch Speicherfehler: Eine unterbrochene Anfrage hinterlässt interne Daten teilweise initialisiert, und die Anfragebereinigung behandelt diese als gültig. | 9.2 | 8.5.12, 8.4.27, 8.3.36, 8.2.35 |
| CVE-2026-109619 | Remote Codeausführung durch veralteten globalen Zustand: Der vom Request verwaltete Zustand bleibt erhalten, nachdem sein Speicher freigegeben wurde, und wird von einem späteren Request auf demselben Worker wiederverwendet. | 9.2 | 8.5.12, 8.4.27, 8.3.36, 8.2.35 |
Das PHP-Projekt weist darauf hin, dass alle PHP-Installationen, die Webanfragen bearbeiten, gefährdet sind, darunter PHP-FPM, Apache mod_php, php-cgi, FrankenPHP und LiteSpeed. PHP-Versionen 8.1 und älter erhalten keine Updates mehr vom PHP-Projekt.
Mögliche Auswirkungen
- Die Ausführung von vom Angreifer kontrolliertem Code auf einem anfälligen Webserver ohne Authentifizierung kann zum Zugriff auf das Dateisystem und Datenbanken sowie zur Störung von Diensten führen.
- Mögliche Offenlegung von Speicherinhalten wie Anmeldeinformationen, Schlüsseln oder Sitzungsdaten.
Eine kompromittierte Managementschnittstelle kann als Einfallstor in das umgebende Netzwerk dienen.
Bei weiteren Fragen wenden Sie sich bitte an Keysight.
1 Keysight hat im Rahmen des wirtschaftlich Zumutbaren Anstrengungen unternommen, um die Liste der von der PHP- Sicherheitslücke betroffenen Produkte zusammenzustellen. Keysight stellt Ihnen diese Informationen lediglich zur Verfügung und übernimmt keine Gewähr für deren Vollständigkeit.
Sie brauchen Hilfe oder haben Fragen?