PHP-CGI – Query String Parameter Injection

Beschreibung

In PHP im CGI-Betrieb ermöglicht eine fehlerhafte Verarbeitung von Query-String-Parametern das Einschleusen von Argumenten und die Ausführung von beliebigem Code. Betroffen sind PHP selbst sowie zahlreiche Distributionen und Produkte, die es einsetzen. Wird laut CISA KEV aktiv ausgenutzt. Ausnutzungswahrscheinlichkeit (EPSS): 100.0 %.

Changelog

1. 2026-07-15 · zuletzt

   • Zusätzlich betroffen: fedora, debian-dsa, suse-opensuse, rancher-suse, hpe-storage, ibm-storage, pure-storage, zoho-manageengine.

2. 2026-07-14

   • Ausnutzungswahrscheinlichkeit (EPSS) gestiegen: 94.4 % → 100.0 %.

Automatisch aus dem Vergleich der Datenstände erzeugt (CVSS, Schweregrad, KEV-Status, Ransomware, betroffene Produkte, EPSS-Sprünge ab 5 Prozentpunkten). Nicht redaktionell verfasst.

Betroffene Produkte

Quellen und Referenzen

• NVD (NIST) Offizieller Eintrag mit CVSS-Vektor und Referenzen
• MITRE CVE CVE-Stammsatz der MITRE Corporation
• FIRST EPSS Ausnutzungswahrscheinlichkeit der naechsten 30 Tage
• CISA KEV-Katalog Nachweislich aktiv ausgenutzte Schwachstellen

Weitere Schwachstellen in PHP

• Joomla JCE-Editor: Unauthentifizierte PHP-Code-Ausführung KEV CVE-2026-48907
• PHP-CGI OS Command Injection Vulnerability KEV CVE-2024-4577
• PHP FastCGI Process Manager (FPM) Buffer Overflow KEV CVE-2019-11043
• vBulletin PHP Module – Remote Code Execution KEV CVE-2019-16759
• PHPMailer Command Injection Vulnerability KEV CVE-2016-10033
• Juniper Junos OS EX/SRX Series PHP External Variable Modification Vulnerability KEV CVE-2023-36845