PHPCSUtils: Remote Code Execution über eval() in der Array-Key-Verarbeitung

Zusammenfassung

PHPCSUtils ist eine Hilfsbibliothek für PHP_CodeSniffer, die in der Entwicklung und in CI-Prüfungen eingesetzt wird. In den Versionen 1.0.0-alpha1 bis 1.2.2 wertet die Methode AbstractArrayDeclarationSniff::getActualArrayKey() Array-Key-Ausdrücke mit eval() aus, sodass angreifergesteuerte Callback-Keys in PHP-Code beliebige Befehle auf dem prüfenden System ausführen können. Voraussetzung ist, dass ein Sniff, der diese Methode nutzt, etwa Universal.Arrays.DuplicateArrayKey oder Universal.Arrays.MixedArrayKeyTypes, nicht vertrauenswürdigen Code prüft, zum Beispiel in einer CI-Pipeline für Pull Requests oder auf einem Entwicklerrechner beim Review von Drittcode.

Betroffen

• PHPCSUtils 1.0.0-alpha1 bis einschliesslich 1.2.2
• Sniffs, die AbstractArrayDeclarationSniff erweitern und getActualArrayKey() aufrufen, zum Beispiel in PHPCSExtra

Behoben in

• Behoben in PHPCSUtils 1.2.3

Umgehung

• Der Hersteller dokumentiert keinen Workaround; die vom Hersteller empfohlene Massnahme ist das Update auf 1.2.3.
• Bis zum Update keine nicht vertrauenswürdigen PHP-Codes mit betroffenen Sniffs prüfen.

Ausnutzung

• Keine Hinweise auf eine Ausnutzung in freier Wildbahn gefunden.
• CISA SSVC: Exploitation none, Automatable no, Technical Impact total.
• Kein öffentlicher Proof of Concept identifiziert; die Lücke wurde koordiniert offengelegt und einem Forscher zugeschrieben.

Unsere Empfehlung

• phpcsstandards/phpcsutils auf 1.2.3 oder neuer aktualisieren, einschliesslich indirekter Abhängigkeiten in der composer.lock.
• Bis dahin keine PHPCS-basierten Prüfungen mit betroffenen Sniffs über nicht vertrauenswürdigen Code ausführen und CI-Pipelines überprüfen, die externe Pull Requests prüfen.
• Eigene oder Drittanbieter-Sniffs, die getActualArrayKey() aufrufen, überprüfen.
• Die Priorität ist hoch für KMU, die nicht vertrauenswürdigen Code prüfen, und niedrig für geschlossene Umgebungen, die nur eigenen Code prüfen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• GitHub Security Advisory GHSA-r6hr-vr92-vv28 github.com
• PHPCSUtils Release 1.2.3 github.com
• Fix commit e8648633 github.com
• OSV GHSA-r6hr-vr92-vv28 osv.dev
• GitLab Advisory CVE-2026-65954 advisories.gitlab.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 08:40.