Another critical PHP security flaw in 2026?
Betrag
Kaufen
The question is whether “Weitere kritische PHP-Sicherheitslücke in 2026?” occurs by the stated deadline and under the published conditions.
A Yes outcome requires the stated conditions to be met; No covers the alternative.
The qualifying event, evidence source, cutoff time, and any exceptions are documented in the Resolution Rules below.
Dieser Markt wird zu „Ja“ aufgelöst, wenn eine kritische Schwachstelle in PHP erstmals zwischen Markterstellung und dem 31. Dezember 2026, 23:59 Uhr ET, öffentlich bekannt gegeben wird und bis zu diesem Stichtag alle unten stehenden Anforderungen erfüllt. Andernfalls wird dieser Markt zu „Nein“ aufgelöst.
Öffentliche Bekanntgabe bedeutet öffentlich verfügbare Informationen, die ausreichen, um die spezifische Schwachstelle zu identifizieren, sei es durch eine offizielle Beratung, Forscherveröffentlichung, Leak oder öffentlichen Code-Commit. Eine allgemeine Warnung vor einer unspezifizierten Schwachstelle allein qualifiziert sich nicht. Eine vor Markterstellung öffentlich bekannt gegebene Schwachstelle qualifiziert sich nicht allein deshalb, weil sie während des Marktzeitraums eine CVE-Kennung oder eine qualifizierende Bewertung erhält.
Eine qualifizierende Schwachstelle muss PHP selbst betreffen (den PHP-Interpreter und die im offiziellen php-src-Quellcode gebündelten Erweiterungen), muss eine öffentlich verfügbare CVE-Kennung zugewiesen bekommen und muss eine öffentlich veröffentlichte CVSS-Basisbewertung von 9,0 oder höher (unter jeder CVSS-Version) entweder vom PHP-Projekt oder der US National Vulnerability Database (NVD) erhalten. Schwachstellen, die nur nicht unterstützte PHP-Versionen oder optionale gebündelte Erweiterungen betreffen, qualifizieren sich, wenn sie ansonsten diese Anforderungen erfüllen. Separat von php-src verteilte Erweiterungen (zum Beispiel über PECL) qualifizieren sich nicht.
Eine qualifizierende Bewertung von einer der Quellen ist ausreichend, unabhängig von einer niedrigeren Bewertung der anderen Quelle oder unter einer anderen CVSS-Version. Nur eine vom NVD selbst (NIST zugeschrieben) oder vom PHP-Projekt veröffentlichte Bewertung zählt; vom NVD angezeigte, aber einer anderen Organisation zugeschriebene Bewertungen qualifizieren sich nicht. Sobald alle Anforderungen während des Marktzeitraums erfüllt wurden, beeinflussen nachfolgende Bewertungsrevisionen die Auflösung nicht.
CVE-2026-109618 und CVE-2026-109619 („PHP2Shell“) qualifizieren sich nicht. Schwachstellen in Drittanbietersoftware, die in PHP geschrieben ist oder auf PHP läuft (zum Beispiel WordPress, Laravel, Drupal, Plugins oder andere Frameworks und Bibliotheken), qualifizieren sich nicht.