PHP: Heap-basierter Pufferüberlauf (CVE-2026-92842)

Was ist betroffen, was ist zu tun

Die Stream-Filter `convert.base64-encode`, `convert.quoted-printable-encode` und `convert.quoted-printable-decode` akzeptieren eine Option `line-break-chars`, deren Länge separat von dem eigentlichen String verfolgt wird. Die Filter-Konstruktoren duplizieren den Wert mit `pestrdup()`, was bei dem ersten NUL-Byte stoppt, während die ursprüngliche Länge beibehalten wird.

Aktualisieren Sie PHP auf Version 8.2.34, PHP auf Version 8.3.35, PHP auf Version 8.4.26.

Betroffen

• PHP lt 8.2.0..8.2.34
• PHP lt 8.3.0..8.3.35
• PHP lt 8.4.0..8.4.26
• PHP lt 8.5.0..8.5.11

Behoben in

• PHP 8.2.34
• PHP 8.3.35
• PHP 8.4.26
• PHP 8.5.11

Unklar, ob und wie Sie betroffen sind? Frage zu dieser Schwachstelle stellen

Metriken

Erkennungsregeln

Für diese Schwachstelle liegt noch keine NEOSEC-Erkennungsregel vor.

Einordnung nach NIS2 und CRA

Regelbasierte Einordnung aus Ausnutzungsstatus und Schweregrad. Sie ersetzt keine Prüfung im Einzelfall.

NIS2

NIS2 ist die EU-Richtlinie (EU) 2022/2555 zur Erhöhung des Cybersicherheitsniveaus in der Union. Sie weitet Pflichten gegenüber der ersten NIS-Richtlinie deutlich aus: mehr Sektoren, verbindliches Risikomanagement, gestufte Meldepflichten und persönliche Verantwortung der Geschäftsleitung.

Im Glossar lesen

Behandeln Sie die Schwachstelle im regulären Schwachstellenmanagement nach Art. 21 Abs. 2 lit. e NIS2.

CRA

Der CRA ist die EU-Verordnung (EU) 2024/2847 mit horizontalen Cybersicherheitsanforderungen an „Produkte mit digitalen Elementen“ — von Industriesteuerungen über Software bis zu vernetzten Verbrauchergeräten. Erstmals müssen Hersteller Sicherheit über den gesamten Produktlebenszyklus gewährleisten, Schwachstellen behandeln und Sicherheitsupdates bereitstellen.

Im Glossar lesen

Ab dem 11.12.2027 verpflichtet Anhang I Teil II CRA Hersteller betroffener Produkte mit digitalen Elementen, Schwachstellen unverzüglich zu behandeln und Sicherheitsupdates bereitzustellen.

ISO/IEC 27001

ISO/IEC 27001 ist der international führende Standard für ein Informationssicherheits-Managementsystem (ISMS). Er beschreibt einen risikobasierten, prozessorientierten Rahmen, um Informationssicherheit systematisch zu planen, umzusetzen, zu überprüfen und zu verbessern.

Im Glossar lesen

Maßnahme A.8.8, Management technischer Schwachstellen: Relevanz für Ihre Systeme bewerten, Behebung einplanen und nachweisen.

Beschreibung

Die Stream-Filter `convert.base64-encode`, `convert.quoted-printable-encode` und `convert.quoted-printable-decode` akzeptieren eine Option `line-break-chars`, deren Länge separat von dem eigentlichen String verfolgt wird. Die Filter-Konstruktoren duplizieren den Wert mit `pestrdup()`, was bei dem ersten NUL-Byte stoppt, während die ursprüngliche Länge beibehalten wird. Wenn der Filter später einen Zeilenumbruch ausgibt, kopiert er die aufgezeichnete Länge aus der gekürzten Zuordnung, liest über ihr Ende hinaus und platziert benachbarte Heap-Bytes in die Filter-Ausgabe.

Quelle: redhat_csaf, suse_csaf, Debian Security Advisories, Ubuntu Security Notices, BSI WID Portal, BSI CSAF, Microsoft Security Update Guide, NVD (NIST), CVE.org (MITRE), cvelistv5, OSV (Open Source Vulnerabilities)

Weakness-Klassen (CWE)

• CWE-122Heap-based Buffer Overflow

  Variant

  A heap overflow condition is a buffer overflow, where the buffer that can be overwritten is allocated in the heap portion of memory, generally meaning that the buffer was allocated using a routine such as malloc().

  Eintrag bei MITRE CWE-122

• CWE-125Out-of-bounds Read

  Base

  The product reads data past the end, or before the beginning, of the intended buffer.

  Eintrag bei MITRE CWE-125

Quellen & Referenzen

• github.comphp/php-src/security/advisories/GHSA-88hq-2827-7pg6Herstellerhinweis
• NVD (NIST)vuln/detail/CVE-2026-92842web

Re-Analyse & Statuswechsel

Chronologie der NVD-Audit-Events für diese CVE – Reanalyses, CVSS-Updates, CPE-Diffs.

1. CVE Modified28.09.2026134c704f-9b21-4f2e-91b3-4a467353bcc0

   • SSVC: nachher {"id":"CVE-2026-92842","role":"CISA Coordinator","options":[{"exploitation":"none"},{"automatable":"no"},{"technicalI…

2. New CVE Received25.09.2026security@php.net

   • Description: nachher The convert.base64-encode, convert.quoted-printable-encode and convert.quoted-printable-decode stream filters accept a line-break-chars option whose length is tracked separately from the string itself. The filter constructors duplicate the value with pestrdup(), which stops at the first NUL byte, while keeping the original length. When the filter later emits a line break it copies the recorded length out of the truncated allocation, reading past its end and placing adjacent heap bytes into the filter output.
   • CVSS V3.1: nachher AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:N/A:N
   • CWE: nachher CWE-125
   • CWE: nachher CWE-122