PhpSpreadsheet: XML-Entity-Umgehung ermöglicht XXE und Denial of Service

Zusammenfassung

PhpSpreadsheet, eine PHP-Bibliothek zum Lesen und Schreiben von Tabellenkalkulationsdateien, kann im XML-Sicherheitsfilter beim Lesen von SpreadsheetML-Dateien umgangen werden. Ein doppelt kodiertes Kleiner-als-Zeichen lässt eine ungeprüfte DOCTYPE- und Entity-Deklaration zum XML-Parser durch. Ein Angreifer, der eine präparierte Tabellenkalkulationsdatei bereitstellen kann, kann eine Entity-Expansion für Denial of Service auslösen und, bei PHP unter Version 8.0 oder mit aktiviertem LIBXML_NOENT, lokale Dateien lesen oder Server-Side Request Forgery ausführen.

Betroffen

• PhpSpreadsheet 3.3.0 bis vor 3.10.8
• PhpSpreadsheet 4.0.0 bis vor 5.10.0
• Hinweis: Der CNA-Eintrag und die Recherchenotizen nennen für einige Quellen unterschiedliche Bereiche; die installierte Version mit composer show prüfen.

Behoben in

• 3.10.8
• 5.10.0

Umgehung

• Unbekannt. Es wurde keine vom Hersteller dokumentierte Workaround-Massnahme gefunden; der Hersteller empfiehlt als Abhilfe das Aktualisieren.

Ausnutzung

• Zum Zeitpunkt der Recherche wurde keine bestätigte Ausnutzung gefunden.
• CISA SSVC: Ausnutzung keine, automatisierbar ja, technische Auswirkung teilweise.
• Kein öffentlicher Proof of Concept gefunden.

Unsere Empfehlung

• Prüfen, ob Anwendungen PhpSpreadsheet verwenden (oft als Composer-Abhängigkeit) und welche Version installiert ist.
• Auf 3.10.8 oder 5.10.0 aktualisieren. Hinweis: 5.10.0 erfordert PHP 8.2 oder neuer; bei Hosts mit PHP 8.1 oder älter ist ein PHP-Upgrade einzuplanen.
• Falls ein Update nicht möglich ist, keine nicht vertrauenswürdigen Tabellenkalkulationsdateien mehr an den Xml-Reader übergeben und die Verarbeitung in einem isolierten Worker mit eingeschränktem Netzwerkzugriff ausführen.
• Anwendungen mit öffentlichen Upload-Formularen priorisieren und prüfen, ob sie ohne Anmeldung erreichbar sind.
• Auch ältere PhpSpreadsheet-Zweige prüfen, da die verwandte CVE-2026-108358 diese betreffen kann.
• Die CVSS-Abweichung (8.8 v4.0 gegenüber 9.3 v3.1 bei GitLab/GHSA und 5.5 bei VulDB) für die Priorisierung festhalten.
• Das Update zuerst in einer Testumgebung bestätigen.
• Die Advisory-Daten unterscheiden sich je nach Quelle; die Fix-Versionen sind in allen Quellen konsistent.
• Die Exposition in Schweizer KMU ist unbekannt.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Fix commit 89f455c github.com
• Fix commit 980b5c2 github.com
• Release 3.10.8 github.com
• Release 5.10.0 github.com
• GitHub Security Advisory GHSA-rxj4-h86g-25gc github.com
• GitLab advisory CVE-2026-108357 advisories.gitlab.com
• OSV GHSA-rxj4-h86g-25gc osv.dev
• Packagist advisories packagist.org

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 10:55.