Aktualisieren Sie alle PHP-Installationen umgehend auf die neueste sichere Version.
▸▾Herleitung der Bewertung(2)
Wie der Wert zustande kommt
- Hoechster CVSS-Basiswert 7.5+14
- Ohne Anmeldung ueber das Netz ausnutzbar (CVE-2025-14177, CVSS-Vektor AV:N/PR:N)+10
Woraus sich die Konfidenz ergibt
- Nur ein Herausgeber — keine Gegenlesung
- Darunter eine behoerdliche Primaerquelle
- Strukturierte CVE-Daten aus der NVD vorhanden
Die Konfidenz misst die Belegqualität, nicht die Schwere.
Einschränkungen
- Schmale Datenlage: der Wert beruht auf wenigen Einzelsignalen.
Bewertung v1.2, deterministisch berechnet. Bedrohungswert und Konfidenz sind getrennte Größen.Methodik
[UPDATE] [mittel] PHP: Mehrere Schwachstellen
PHP weist mehrere kritische Schwachstellen auf, die von entfernten Angreifern ausgenutzt werden können. Betroffen sind alle Nutzer von PHP, da Angreifer Informationen offenlegen, Denial-of-Service-Zustände herbeiführen oder Server-Side Request Forgery-Angriffe durchführen könnten. Es wird dringend empfohlen, die PHP-Installationen umgehend zu aktualisieren, um diese Risiken zu minimieren.
SecBoard-Einordnung
Organisationen, die PHP in ihren Webanwendungen oder Serverinfrastrukturen einsetzen, sind einem Risiko der Informationspreisgabe, Dienstverweigerung oder SSRF-Angriffe ausgesetzt, was die Integrität und Verfügbarkeit ihrer Dienste beeinträchtigen kann.
Realistisch schlimmster Fall: Im schlimmsten Fall könnten Angreifer sensible Informationen preisgeben, kritische Dienste durch Denial-of-Service-Angriffe lahmlegen oder über SSRF-Angriffe auf interne Ressourcen zugreifen.
Key Facts
- CVSS
- 7.5 · HIGH
- EPSS
- 0.7%
- Über das Netz
- ja
- Anmeldung nötig
- nein
- Nutzerinteraktion nötig
- nein
- Angriffskomplexität
- niedrig
- Beeinträchtigt
- Verfügbarkeit
- Patch
- unbekannt
- Zuweisende CNA
- security@php.net
- CVSS
- 7.5 · HIGH
- EPSS
- 0.5%
- Über das Netz
- ja
- Anmeldung nötig
- nein
- Nutzerinteraktion nötig
- nein
- Angriffskomplexität
- niedrig
- Beeinträchtigt
- Vertraulichkeit
- Patch
- unbekannt
- Zuweisende CNA
- security@php.net
- CVSS
- 6.5 · MEDIUM
- EPSS
- 0.5%
- Über das Netz
- ja
- Anmeldung nötig
- nein
- Nutzerinteraktion nötig
- nein
- Angriffskomplexität
- hoch
- Beeinträchtigt
- Integrität, Verfügbarkeit
- Patch
- unbekannt
- Zuweisende CNA
- security@php.net
- CVSS
- 2.9 · LOW
- EPSS
- 0.1%
- Über das Netz
- nein
- Anmeldung nötig
- nein
- Nutzerinteraktion nötig
- nein
- Angriffskomplexität
- hoch
- Beeinträchtigt
- Verfügbarkeit
- Patch
- unbekannt
- Zuweisende CNA
- cve@mitre.org
Betroffen
Alle Nutzer von PHP-Installationen sind betroffen.
Hersteller
Produkte
▸ CPE-Rohbezeichner anzeigen▾ CPE-Rohbezeichner ausblenden (2)
- cpe:2.3:a:php:php:*:*:*:*:*:*:*:*
- cpe:2.3:a:php:php:8.5.0:*:*:*:*:*:*:*
Prüfen
3- ▸Überprüfen Sie alle PHP-Installationen auf die aktuell installierte Version und vergleichen Sie diese mit den neuesten Sicherheits-Updates.
- ▸Scannen Sie Ihre Webanwendungen auf Anzeichen von Informationspreisgabe oder ungewöhnlichen Denial-of-Service-Ereignissen.
▸ 1 weitere▾ weniger
- ▸Überprüfen Sie Server-Logs auf Anzeichen von Server-Side Request Forgery (SSRF)-Angriffen oder ungewöhnlichen externen Anfragen von internen Systemen.
Offene Punkte
3▸ anzeigen▾ ausblenden
- ▸Spezifische CVE-IDs der Schwachstellen sind nicht genannt.
- ▸Die genauen PHP-Versionen, die betroffen sind, sind nicht spezifiziert.
- ▸Details zu den Angriffsvektoren und der Komplexität der Ausnutzung sind nicht angegeben.
Red-Team-Relevanz
Was heißt das für dein nächstes Assessment?
▸ Einordnung anzeigen▾ Einordnung ausblenden
- Initial Access möglich?Unklar
- Privilege Escalation relevant?Unklar
- Exploit öffentlich verfügbar?Möglich
- Detection / Logging prüfbar?Möglich
- Für Purple-Team-Szenario geeignet?Unklar
Kundenfragen
- Haben wir Windows extern erreichbar?
- Haben wir Oracle extern erreichbar?
MITRE ATT&CK(4)
Techniken aus allen Quellen zusammengeführt — nach Stärke des Belegs sortiert.
„von entfernten Angreifern ausgenutzt werden können“
„Server-Side Request Forgery-Angriffe durchführen könnten“
„Denial-of-Service-Zustände herbeiführen“
„Angreifer könnten Informationen offenlegen“
Mehrere Herkünfte bei derselben Technik heißt: mehrere unabhängige Wege führen dorthin.
Quellen & Belege· 1 Quelle
Behoerdliche Veroeffentlichung mit Amtspflicht zur Richtigkeit, frei zugaenglich.
- Nur eine Quelle — der Sachverhalt ist an keiner zweiten Stelle gegengelesen.
Verknüpfte Intelligence
Dieselben Entitäten an anderer Stelle auf SecBoard.