Apache Thrift PHP: Ineffizienter Algorithmus ermöglicht Denial of Service
Zusammenfassung
Die PHP-Bindings von Apache Thrift (framed-, memory- und HTTP-Transporte) zerlegen den Puffer bei jedem Lesevorgang neu, wodurch der Verarbeitungsaufwand quadratisch wächst. Ein entfernter, nicht authentifizierter Angreifer kann speziell präparierte Eingaben senden, um Ressourcen zu erschöpfen und den betroffenen Dienst zu stören; nur die Verfügbarkeit ist betroffen. Der CVSS-v4.0-Basiswert beträgt 8.2 (High), während Vulners das Problem mit 5.7 (Medium) bewertet.
Betroffen
- Apache Thrift vor 0.25.0, PHP-Bindings (Composer-Paket apache/thrift)
Behoben in
- Apache Thrift 0.25.0
- Die fixen Versionen in Distributionspaketen unterscheiden sich; prüfen Sie die Advisory Ihres Herstellers.
Umgehung
- Kein vom Hersteller veröffentlichter Workaround. Das Aktualisieren auf 0.25.0 ist die Behebung.
Ausnutzung
- Nicht als aktiv ausgenutzt gemeldet; nicht im CISA-KEV-Katalog aufgeführt.
- CISA SSVC: Ausnutzung keine, nicht automatisierbar.
- Es wurde kein öffentlicher Exploit-Code bestätigt.
Unsere Empfehlung
- Inventarisieren Sie PHP-Projekte, die apache/thrift über Composer verwenden, und prüfen Sie die gesperrte Version.
- Aktualisieren Sie auf Apache Thrift 0.25.0 oder neuer, zusammen mit den übrigen Thrift-Korrekturen aus derselben Veröffentlichung.
- Priorisieren Sie aus dem Internet oder von unsicheren Netzen erreichbare Dienste; beschränken Sie den Client-Zugriff auf den Thrift-PHP-Endpunkt, wenn die Aktualisierung verzögert ist.
- Überwachen Sie betroffene Dienste auf ungewöhnliche CPU- und Speicherauslastung.
- Prüfen Sie Distributionspakete separat, da sich die fixen Versionen zwischen den Herstellern unterscheiden.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Apache mailing list advisory (thread 1) lists.apache.org
- Apache mailing list advisory (thread 2) lists.apache.org
- Vulners: CVE-2026-94653 vulners.com
- OSV: DEBIAN-CVE-2026-94653 osv.dev
- Vulners: Red Hat RHSA-2026:74369 vulners.com
- Strix: CVE-2026-94653 www.strix.ai
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 17:15.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.