Spooky Season mit PHP, Node.js und KVM

Hallo und willkommen in unserem Oktober-Newsletter!

Am kommenden Wochenende steht Halloween an und einige Kollegen werden sicherlich verkleidet durch die Gegend ziehen - doch auch ohne diesen Abschluss war der Oktober gruselig genug.
Grund dafür waren einige böse Sicherheitslücken über mehrere Sprachen, Anwendungen und Betriebssysteme hinweg, die uns vor Allem letzte Woche auf Trab gehalten haben.

Aus diesem Grund ziehen wir den heutigen Newsletter etwas anders auf - quasi ein Security Special! Denn eventuell ist die ein oder andere Meldung an dir vorbeigegangen, oder wir können dir noch etwas mehr Hintergrundinformationen liefern, um die Geschehnisse einzuordnen. In diesem Newsletter findest du also kurze Zusammenfassungen zu den verschiedenen “Highlights” im Oktober und weiterführende Links, um dir selbst ein Bild zu machen.

Und auch wenn das Thema ernst ist gilt wie immer: Viel Spaß beim Lesen!

---

PHP

---

PHP2Shell: Remote Code Execution in der PHP Runtime

Den Anfang macht PHP mit den CVEs CVE-2026-109618 und CVE-2026-109619, das Mitte letzter Woche für Schlagzeilen sorgte: Die beiden Sicherheitslücken betrafen alle aktuellen und älteren PHP-Versionen bis einschließlich 5.4, unabhängig von der konkreten Anwendung - denn die Probleme lagen in der PHP-Runtime selbst. Am schlimmsten traf es mod_php, wo die Exploits durchgeführt werden konnten, bevor überhaupt Anwendungscode ausgeführt wurde.

Trotz guter Koordination und Vorankündigungen durch die PHP Foundation lief die Veröffentlichung der CVEs hektisch ab: Bereits Tage zuvor meldeten u.A. Cloudflare und AWS beobachtete Versuche, die Sicherheitslücken auszunutzen, ein Unternehmen, das über die Sicherheitslücken im Bilde war, verstieß gegen das verhängte Embargo, und zahlreiche Websitebetreiber nahmen ihre Seiten kurzerhand offline, während sie auf die Patches warteten.

Auch NWS war betroffen: Zwei unserer beliebten Managed Services - Managed Icinga und Managed Nextcloud - sind PHP-Anwendungen und mussten abgesichert und gepatcht werden; dazu kamen zahlreiche Kundensetups, die durch unsere MyEngineers® betreut werden. Wir haben natürlich alles daran gesetzt, die Patches möglichst zeitnah einzuspielen, und konnten in der Zwischenzeit keine versuchten Angriffe auf NWS beobachten.

Weitere Informationen zu PHP2Shell findest du unter folgenden Links:

• Blogpost der PHP Foundation:
  Today’s PHP Security Release, and How We’re Strengthening PHP Security
• Darstellung der Hintergründe von Phoenix Security:
  800 Systems affected PHP Core RCE (CVE-2026-109618, CVE-2026-109619): Two Critical Remote Code Execution Flaws Patched October 21

---

Node.js

---

Node2Shell: Remote Code Execution über den brotli-Decoder

Weil eine Webtechnologie noch nicht genug war, wurden letzte Woche auch CVEs in NodeJS bekannt: Die ebenfalls am 21. Oktober veröffentlichten Releases für Node.js 22/24/26 enthielten also Patches für 10 CVEs, darunter eine Remote Code Execution über den in NodeJS enthaltenen brotli-Decoder mit der Nummer CVE-2026-111497.

Böse Zungen behaupten, dass Nutzer von Node.js, NPM und Co. häufige Patches gewöhnt sind - so oder so musste auch hier in vielen Fällen die Runtime auf Servern, in der Cloud oder in Containerimages ausgetauscht bzw. geupdatet werden. Immerhin waren in diesem Fall im Gegensatz zu den Sicherheitslücken in PHP auch einen Tag nach Veröffentlichung noch keine erfolgreichen Angriffe bekannt.

Neben der Sicherheitslücke in brotli wurden außerdem die Abhängigkeiten c-ares, ca-cert wegen kompromittierten eMudhra-Zertifikaten (dazu später mehr), OpenSSL, SQLite und undici aufgrund öffentlicher Schwachstellen geupdatet.

Mehr Informationen und eine Auflistung der gepatchten CVEs findest du in der Veröffentlichung des Node.js Projekts.

---

eMudhra CA

---

Chain of Trust: Kompromittierung von eMudhra CA Keys

Eine weitere Story aus dem Oktober war die Kompromittierung von acht Intermediate Certificate Authority (CA) Schlüsseln des indischen Unternehmens eMudhra. Gestohlen wurden sie nicht, aber man konnte sie erraten: Die 8 Schlüssel enthielten nach einer misslungenen Key Ceremony im April 2025 Werte mit sehr niedriger Entropie (4, 56, 66, 115, 155, 156, 230 und 237). Alle acht Schlüssel konnten so in unter einer Sekunde erraten werden.

Google, Mozilla, Apple, Microsoft, sowie zahlreiche Linux-Distributionen und Programmiersprachen erklärten die Schlüssel innerhalb kurzer Zeit für ungültig, doch einige Anwendungen sind auf gängigen Betriebssystemen noch potenziell anfällig für Man-in-the-Middle-Attacken (MITM attacks), bspw. curl und git auf meinem macOS 27.0.1

Ob bei dir installierte Anwendungen anfällig sind, kannst du mit dem CLI-Tool emBarrass auf GitHub herausfinden, oder dir die Hintergründe zu diesem Vorfall hier durchlesen, inklusive eines Checks, ob dein Browser den Zertifikaten noch vertraut: eMudhra Intermediate CA Compromise

---

KVM

---

PwnEscape: KVM Guest-to-Host Escape

Bereits vor den Sicherheitslücken in PHP hielt uns im Oktober PwnEscape (CVE-2026-99999) auf Trab, eine Sicherheitslücke im Linux Netzwerk-Stack, durch die ein vollumfänglicher Ausbruch von Gast- auf Hostsysteme möglich war. Für uns als Cloudanbieter sind solche Sicherheitslücken, die potenziell die VMs unserer Kunden betreffen, natürlich besonders heikel. Betroffen waren KVM-Setups auf Systemen mit einer x86-CPU-Architektur - also dem gängigsten Setup.

VMs konnten durch die Sicherheitslücke IP-Pakete modifizieren, nachdem diese vom Hypervisor bereits validiert wurden; so war es VMs möglich, den Arbeitsspeicher des KVM-Hosts auszulesen und zu modifizieren, um eigenen Code auszuführen. Viele Cloudanbieter mussten also für die jeweils genutzten Distributionen bereitgestellte Patches einstellen, oder die Sicherheitslücke vorübergehend anders abdecken.

Da für die Aktivierung des Patches ein Reboot der betroffenen Hypervisoren notwendig gewesen wäre, haben wir nach Bekanntwerden des CVEs als Sofortmaßnahme ein eBPF-Programm auf unseren Hypervisoren eingespielt, das ein Ausnutzen der Sicherheitslücke mitigiert, bis wir die Hypervisoren zeitnah ordentlich patchen konnten. Auch für diesen Exploit konnten wir bei NWS keine versuchten Angriffe beobachten.

Mehr Informationen zur Sicherheitslücke und wie sie zustande kam bzw. ausgenutzt werden könnte findest du hier:
Linux KVM guest-host escape rated critical, may represent a new way to attack penguin-powered networking

---

GitLab

---

GitLab: Unauthenticated Remote Code Execution

Mit CVE-2026-110264 schneite dann noch eine weitere Sicherheitslücke mit dem “perfekten” CVSS-Score von 10.0 herein: Die von GitLab genutzte Regex-Engine Onigmo war in allen GitLab-Versionen der vergangenen 12 Jahre anfällig, und nur ein Patch betroffener GitLab-Instanzen konnte Abhilfe schaffen. Also haben sich unsere MyEngineers® auch hier noch einmal ans Werk gemacht und die von uns betriebenen Managed GitLab-Instanzen möglichst schnell geupdatet.

Eine Übersicht und Diskussion der betroffenen GitLab-Versionen inkl. Upgrade-Pfaden für deine Umgebung findest du hier:
Critical GitLab Flaw (CVSS 10.0) Could Allow Unauthenticated RCE Across 12 Years of Releases

---

Was bleibt?

---

Dieser besonders gruselige Oktober nähert sich seinem Ende, und wir fragen uns natürlich: Wie geht es weiter?

Bei fast allen in diesem Newsletter gelisteten Sicherheitslücken war AI maßgeblich an der Entdeckung und Validierung beteiligt; die Folge für betroffene Nutzer ist eine teils deutlich kürzere Reaktionszeit nach Veröffentlichung von Sicherheitslücken, und ein generell höheres Aufkommen an Ereignissen, auf die reagiert werden muss.

Bei NWS konnten wir im vergangenen Monat keine Versuche beobachten, eine dieser Sicherheitslücken auszunutzen, und waren in der Lage, jeweils zeitnah zu reagieren und Patches zu koordinieren und einzuspielen. Dennoch investieren wir natürlich weiterhin in die Absicherung und proaktive Überwachung der NETWAYS Cloud und unserer Managed Services, denn wir sind uns fast sicher: Momentan genießen wir nur die Ruhe vor dem nächsten Sturm.

Auch um uns in Sachen Security und Monitoring unserer Umgebung weiterzubilden, sind wir auf einigen Messen und Konferenzen unterwegs: Wenn du diesen Newsletter siehst, unterhalten wir uns gerade mit CISOs, Security Engineers und anderen Service Providern auf der IT-SA in Nürnberg über aktuelle Themen rund um Security, Compliance und Souveränität. Und Mitte November sind wir als Sponsor auf der OSMC vertreten, wo wir uns neue Ansätze zur Überwachung der NETWAYS Cloud anschauen werden.

Für die OSMC kannst du dir dein Ticket mit unserem Sponsorcode NWS15@OSMC_2026 noch mit 15% Rabatt auf der OSMC-Website sichern.

---

CLI Quick Win

---

Vulnerability und Secret Scanning mit Trivy

Bei vielen der Sicherheitslücken im Oktober war die erste Frage “Sind wir betroffen?” - und die Antwort darauf ist teilweise schwer zu finden: In Containern, auf Kubernetes, und in Nutzeranwendungen verstecken sich oft Abhängigkeiten, die man nicht sofort auf dem Schirm hat.

Mit Trivy kannst du Containerimages, Dateisysteme, Git Repositories, VM-Images und Kubernetes-Umgebungen auf bekannte Schwachstellen, Fehlkonfigurationen und Secrets scannen und dir Reports und SBOMs generieren lassen.

Mehr Informationen zu Trivy findest du auf GitHub.

---

---