Apache Thrift (PHP-Bindings): NULL-Pointer-Dereferenzierung im thrift_protocol-Accelerator
Zusammenfassung
Die PHP-Bindings von Apache Thrift, einem RPC-Framework, enthalten eine NULL-Pointer-Dereferenzierung im thrift_protocol-Accelerator. Ein entfernter, nicht authentifizierter Angreifer, der präparierte Thrift-Eingaben an einen betroffenen PHP-Dienst senden kann, kann den Prozess oder Worker zum Absturz bringen und so einen Denial of Service auslösen. Eine Offenlegung von Daten oder eine Codeausführung wird nicht berichtet. Das Risiko ist am höchsten, wenn ein Thrift-Endpunkt aus dem Internet erreichbar ist oder Eingaben von Partnern oder Kunden annimmt.
Betroffen
- Apache Thrift Versionen vor 0.25.0 mit PHP-Bindings (Composer-Paket apache/thrift)
- Linux-Distributionspakete und eingebettete Kopien von Thrift in PHP-Anwendungen, je nach Distributionsversion (zum Beispiel wird Azure Linux thrift 0.24.0-1 als betroffen aufgeführt)
Behoben in
- Apache Thrift 0.25.0 (Korrektur upstream, laut CNA-Eintrag und Apache-Hinweis)
- Distributionsspezifische korrigierte Paketversionen: Unbekannt; prüfen Sie den Sicherheitshinweis Ihrer Distribution (Red Hat Hardened Images liefern thrift 0.25.0-0.1.hum1)
Umgehung
Unbekannt. Der CVE-Eintrag nennt keine Workaround-Massnahme; das Aktualisieren ist die Abhilfe.
- Bis zur Korrektur den Kreis der Clients einschränken, die Thrift-Endpunkte erreichen können, und PHP-Worker auf Abstürze überwachen (eigene Empfehlung, nicht aus den Quellen).
Ausnutzung
- CISA-SSVC-Daten: Ausnutzung keine, automatisierbar ja, technische Auswirkung teilweise
- Nicht in der CISA-KEV-Liste aufgeführt
- Zum Zeitpunkt der Recherche wurde kein öffentlicher Proof of Concept gefunden; dies belegt nicht, dass keiner existiert
Unsere Empfehlung
- Erfassen Sie alle PHP-Anwendungen und Abhängigkeiten, die Apache Thrift verwenden, einschliesslich eingebetteter Kopien und Linux-Pakete.
- Aktualisieren Sie Composer-Projekte auf apache/thrift 0.25.0 und installieren Sie die korrigierte Paketversion Ihrer Distribution.
- Beschränken Sie den Zugriff auf Thrift-Endpunkte und priorisieren Sie Endpunkte, die aus dem Internet erreichbar sind oder Partner-Eingaben annehmen.
- Überwachen Sie PHP-Worker und Logs auf Abstürze und achten Sie auf einen öffentlichen Proof of Concept.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Apache Thrift mailing list advisory (thread 1) lists.apache.org
- Apache Thrift mailing list advisory (thread 2) lists.apache.org
- SentinelOne vulnerability database: CVE-2026-87117 www.sentinelone.com
- Vulners: CVE-2026-87117 vulners.com
- OpenCVE: CVE-2026-87117 app.opencve.io
- OSV: Azure Linux AZL-106608 osv.dev
- Red Hat RHSA-2026:74369 (via Vulners) vulners.com
- LinuxSecurity news: Apache Thrift 0.25.0 linuxsecurity.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 05:55.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.