phpMyFAQ: Authentifizierungsumgehung überspringt TOTP-2FA bei SSO-Anmeldung

Zusammenfassung

phpMyFAQ-Versionen 3.2.0-alpha bis vor 4.1.9 und 4.2.0-alpha bis vor 4.2.0-beta erlauben es Benutzenden, die sich über Keycloak oder Microsoft Entra ID SSO anmelden, die TOTP-Zwei-Faktor-Authentifizierung zu überspringen. Ein Angreifer mit einer gültigen oder phishing-erbeuteten IdP-Identität, die mit einem Konto mit 2FA verknüpft ist, auch mit einem Administratorkonto, kann eine vollständig authentifizierte Sitzung erhalten. Die Schwachstelle betrifft nur Installationen, in denen Keycloak oder Entra ID SSO konfiguriert ist.

Betroffen

• phpMyFAQ 3.2.0-alpha bis vor 4.1.9 (CNA-Eintrag)
• phpMyFAQ 4.2.0-alpha bis vor 4.2.0-beta (CNA-Eintrag)
• Die Herstellerhinweise decken 4.2.0-alpha bis 4.2.0-alpha.2 sowie die 4.1.x-Nightly-Builds ab 2026-04-20 ab; die betroffenen SSO-Callbacks fehlen in den Versionen 4.1.5 bis 4.1.8

Behoben in

• 4.1.9 und 4.2.0-beta (laut CNA-Eintrag)
• Die Herstellerhinweise geben an, dass zum Zeitpunkt der Erstellung keine korrigierte Version bekannt war; die korrigierte Version ist vor dem Vertrauen beim Hersteller zu bestätigen

Umgehung

• Unbekannt. Der Hersteller veröffentlicht keine Workaround.
• Bis eine korrigierte Version bestätigt ist, die Keycloak- und Entra-ID-SSO-Anmeldung deaktivieren, mindestens aber für Administratorkonten.

Ausnutzung

• Keine bekannte Ausnutzung in freier Wildbahn. Eine Aufnahme in den CISA-KEV-Katalog ist nicht bestätigt.
• CISA-SSVC-Bewertung: Ausnutzung keine, nicht automatisierbar, totale technische Auswirkung.
• Der Herstellerhinweis beschreibt eine Verifikation im Labor; es wurde kein öffentlicher Exploit-Code gefunden.

Unsere Empfehlung

• Prüfen, ob Keycloak oder Entra ID SSO konfiguriert ist und ob Konten mit 2FA damit verknüpft sind.
• Auf 4.1.9 oder 4.2.0-beta oder neuer aktualisieren und die Korrektur anhand des Herstellerhinweises bestätigen.
• Administratorkonten und SSO-Anmeldeprotokolle seit 2026-10-17 auf unerwartete Anmeldungen prüfen und nach dem Update aktive Sitzungen beenden.
• Den Zugriff auf das Administrationsinterface nach Möglichkeit auf IP-Adressen oder VPN beschränken und auf SSO-Anmeldungen ohne Token-Schritt achten.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• GitHub Advisory GHSA-43g3-pp5p-fg96 github.com
• GitHub Advisory GHSA-8fvf-747v-qjr6 github.com
• VulnCheck advisory www.vulncheck.com
• VulDB CVE-2026-111882 vuldb.com
• Vulners CVE-2026-111882 vulners.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 07:50.