PHPUnit: Befehlsinjektion (CVE-2017-9841)

Was ist betroffen, was ist zu tun

In PHPUnit vor Version 4.8.28 und 5.x vor 5.6.3 ermöglicht Util/PHP/eval-stdin.php es Fernangreifern, beliebigen PHP-Code über HTTP POST-Daten auszuführen, die mit einem "<?php " Substring beginnen. Dies wurde durch einen Angriff auf eine Website mit einem offengelegten /vendor Ordner demonstriert, d.h., externe Zugriffe auf den URI /vendor/phpunit/phpunit/src/Util/PHP/eval-stdin.php sind möglich.

Die Schwachstelle wird aktiv ausgenutzt; behandeln Sie sie vorrangig. Aktualisieren Sie PHPUnit Project PHPUnit auf Version 5.6.3. Sofortmaßnahmen, Mitigation und Erkennungsregeln stehen im Runbook unten.

Betroffen

• PHPUnit Project PHPUnit lte *..4.8.27
• PHPUnit Project PHPUnit lt 5.0.0..5.6.3
• Oracle Communications Diameter Signaling Router (DSR) lte 8.0.0..8.5.0

Behoben in

• PHPUnit Project PHPUnit 5.6.3

Unklar, ob und wie Sie betroffen sind? Frage zu dieser Schwachstelle stellen

Metriken

Behebung und Mitigation

1. 01

   Schritt 1 im Runbook

   Sofort-Response (0-24 h)

   • Exponierte Instanzen identifizieren: Auf allen Webservern nach der verwundbaren Datei suchen: find / -path '*phpunit/src/Util/PHP/eval-stdin.php' 2>/dev/null. Jeder Treffer innerhalb des Document-Root (z. B. /var/www/html/vendor/...) ist als kritisch einzustufen. Vorhandene Version mit composer show phpunit/phpunit prüfen.
   • Patch einspielen: PHPUnit auf 4.8.28 (4.x-Zweig) bzw. 5.6.3 oder neuer (5.x-Zweig) aktualisieren. Besser: PHPUnit als reine Entwicklungsabhängigkeit führen und Produktionssysteme mit composer install --no-dev neu ausrollen, damit die Datei gar nicht erst auf dem Server liegt.
   • Sofortmaßnahme ohne Deployment: Die Datei eval-stdin.php auf Produktionssystemen löschen oder das komplette vendor/phpunit-Verzeichnis entfernen — PHPUnit hat im Produktivbetrieb keine Funktion.
   • Oracle Communications Diameter Signaling Router 8.0.0 bis 8.5.0: Patch verfügbar beim Hersteller — Version bitte im Oracle-Vendor-Advisory (Critical Patch Update) nachschlagen; bis dahin HTTP-Zugriff auf die Management-Oberfläche auf Administrationsnetze beschränken.
   • Kompromittierungsprüfung einleiten: Access-Logs rückwirkend (mindestens 90 Tage) auf POST-Anfragen an eval-stdin.php durchsuchen. Bei HTTP-200-Antworten auf solche Anfragen das System als kompromittiert behandeln: isolieren, forensisch sichern, Zugangsdaten aus .env/Konfigurationsdateien (Datenbank, API-Keys, Cloud-Credentials, SMTP) rotieren.
2. 02

   Schritt 2 im Runbook

   Mitigation-Layer

   • Webserver-Konfiguration: Zugriff auf vendor/ grundsätzlich unterbinden. nginx: location ~* /vendor/ { deny all; return 404; }. Apache: <DirectoryMatch "/vendor/"> Require all denied </DirectoryMatch>. Langfristig Document-Root auf ein public/-Unterverzeichnis legen, sodass vendor/ außerhalb liegt.
   • WAF/IPS-Regel: Alle Anfragen blockieren, deren URI eval-stdin.php enthält (unabhängig vom Pfadpräfix — Angreifer scannen Varianten wie /laravel/vendor/..., /lib/phpunit/..., /admin/vendor/...). Zusätzlich POST-Bodys mit Präfix <?php an PHP-Dateien blockieren. Suricata-Beispiel: alert http any any -> $HTTP_SERVERS any (msg:"CVE-2017-9841 PHPUnit eval-stdin"; flow:established,to_server; http.uri; content:"eval-stdin.php"; nocase; sid:1000001; rev:1;).
   • Endpoint-Härtung: In der php.ini disable_functions um system,exec,shell_exec,passthru,proc_open,popen ergänzen, sofern die Anwendung dies zulässt; open_basedir auf das Anwendungsverzeichnis begrenzen. Schreibrechte des Webserver-Benutzers auf Document-Root entziehen, um Webshell-Ablage zu erschweren.
   • Netzwerksegmentierung: Ausgehende Verbindungen von Webservern per Egress-Filter auf benötigte Ziele beschränken — verhindert Nachladen von Payloads (Cryptominer, Botnet-Agenten) und Reverse Shells.
   • Build-/Deployment-Prozess: CI/CD-Pipeline um eine Prüfung ergänzen, die Builds mit phpunit im Produktionsartefakt verwirft; Software-Composition-Analysis (composer audit) verpflichtend machen.
3. 03

   Schritt 3 im Runbook

   Detection-Regeln

   • Webserver-Access-Logs: POST-Anfragen mit eval-stdin.php im URI. SPL: index=web uri_path="*eval-stdin.php*" | stats count by src_ip, uri_path, status. KQL (IIS): W3CIISLog | where csUriStem has "eval-stdin.php" | summarize count() by cIP, csUriStem, scStatus. Status 200 statt 404 ist ein starker Kompromittierungsindikator.
   • EDR-Prozessabstammung: Kindprozesse von php-fpm, php-cgi, httpd, apache2 oder nginx wie sh, bash, curl, wget, perl, python, base64. Sigma-Form: ParentImage|endswith: ['/php-fpm*','/apache2','/httpd'] AND Image|endswith: ['/sh','/bash','/curl','/wget'].
   • Linux auditd: execve-Ereignisse mit uid des Webserver-Benutzers (www-data, apache, nginx); Regel: -a always,exit -F arch=b64 -S execve -F euid=33 -k web_exec.
   • Dateiintegrität: Neue oder geänderte .php-Dateien im Document-Root außerhalb von Deployment-Fenstern (FIM, Sysmon for Linux EID 11), insbesondere in vendor/-, uploads/- oder tmp/-Pfaden.
   • Netzwerktelemetrie (Zeek): Ausgehende Verbindungen von Webservern zu unbekannten Zielen bzw. Mining-Pool-Ports kurz nach einem eingehenden POST auf eval-stdin.php; http.log nach uri mit eval-stdin filtern.

Erkennungsregeln

Für diese Schwachstelle liegt noch keine NEOSEC-Erkennungsregel vor.

Einordnung nach NIS2 und CRA

Regelbasierte Einordnung aus Ausnutzungsstatus und Schweregrad. Sie ersetzt keine Prüfung im Einzelfall.

NIS2

NIS2 ist die EU-Richtlinie (EU) 2022/2555 zur Erhöhung des Cybersicherheitsniveaus in der Union. Sie weitet Pflichten gegenüber der ersten NIS-Richtlinie deutlich aus: mehr Sektoren, verbindliches Risikomanagement, gestufte Meldepflichten und persönliche Verantwortung der Geschäftsleitung.

Im Glossar lesen

Aktiv ausgenutzt: Behandeln Sie die Schwachstelle im Schwachstellenmanagement nach Art. 21 Abs. 2 lit. e NIS2 vorrangig. Wird sie in Ihrer Umgebung ausgenutzt, prüfen Sie die Meldepflicht nach Art. 23 (Frühwarnung binnen 24 Stunden).

CRA

Der CRA ist die EU-Verordnung (EU) 2024/2847 mit horizontalen Cybersicherheitsanforderungen an „Produkte mit digitalen Elementen“ — von Industriesteuerungen über Software bis zu vernetzten Verbrauchergeräten. Erstmals müssen Hersteller Sicherheit über den gesamten Produktlebenszyklus gewährleisten, Schwachstellen behandeln und Sicherheitsupdates bereitstellen.

Im Glossar lesen

Seit dem 11.09.2026 müssen Hersteller betroffener Produkte mit digitalen Elementen aktiv ausgenutzte Schwachstellen nach Art. 14 CRA melden, mit Frühwarnung binnen 24 Stunden über die zentrale Meldeplattform der ENISA.

ISO/IEC 27001

ISO/IEC 27001 ist der international führende Standard für ein Informationssicherheits-Managementsystem (ISMS). Er beschreibt einen risikobasierten, prozessorientierten Rahmen, um Informationssicherheit systematisch zu planen, umzusetzen, zu überprüfen und zu verbessern.

Im Glossar lesen

Maßnahme A.8.8, Management technischer Schwachstellen: Relevanz für Ihre Systeme bewerten, Behebung einplanen und nachweisen.

Beschreibung

In PHPUnit vor Version 4.8.28 und 5.x vor 5.6.3 ermöglicht Util/PHP/eval-stdin.php es Fernangreifern, beliebigen PHP-Code über HTTP POST-Daten auszuführen, die mit einem "<?php " Substring beginnen. Dies wurde durch einen Angriff auf eine Website mit einem offengelegten /vendor Ordner demonstriert, d.h., externe Zugriffe auf den URI /vendor/phpunit/phpunit/src/Util/PHP/eval-stdin.php sind möglich.

Originalquelle nur englisch verfügbar, maschinell ins Deutsche übersetzt.

Quelle: NVD (NIST), OSV (Open Source Vulnerabilities), cvelistv5, CISA KEV Catalog, CVE.org (MITRE)

Hersteller und Produkte

• Oracle Oracle Communications Diameter Signaling Router (DSR)
• Phpunit Project PHPUnit Project PHPUnit

Weakness-Klassen (CWE)

• CWE-94Improper Control of Generation of Code ('Code Injection')

  Base

  The product constructs all or part of a code segment using externally-influenced input from an upstream component, but it does not neutralize or incorrectly neutralizes special elements that could modify the syntax or behavior of the intended code segment.

  Eintrag bei MITRE CWE-94

Quellen & Referenzen

• NVD (NIST)vuln/detail/CVE-2017-9841advisory
• github.comsebastianbergmann/phpunit/pull/1955web
• github.comsebastianbergmann/phpunit/pull/1956web, x_refsource_MISC, Patch, Hinweis Dritter
• github.comsebastianbergmann/phpunit/commit/284a69fb88a2d0845d23f42974a583…web, x_refsource_MISC, Patch, Hinweis Dritter
• github.comsebastianbergmann/phpunit/commit/3aaddb1c5bd9b9b8d070b4cf120e71…web
• github.comFriendsOfPHP/security-advisories/blob/master/phpunit/phpunit/CV…web
• github.comsebastianbergmann/phpunitpackage
• security.gentoo.orgGLSA-201711-15web, Herstellerhinweis, x_refsource_GENTOO, Hinweis Dritter
• cisa.govknown-exploited-vulnerabilities-catalog?field_cve=CVE-2017-9841web, government-resource, US-Behörde
• oracle.comsecurity-alerts/cpuoct2021.htmlweb, x_refsource_MISC, Patch, Hinweis Dritter
• web.archive.orgweb/20170701212357/http://phpunit.vulnbusters.comweb
• securityfocus.com101798web, Schwachstellendatenbank, x_refsource_BID, Link defekt
• securitytracker.com1039812web, Schwachstellendatenbank, x_refsource_SECTRACK, Link defekt
• web.archive.orgweb/20170701212357/http://phpunit.vulnbusters.comx_refsource_MISC, Hinweis Dritter

Verknüpfte Advisories

• Exposed Vite-Server-Angriffe auf AWS- und Azure-AnmeldeinformationenCSO Online15.09.2026