Regeln

Dieser Markt wird mit „Ja“ aufgelöst, wenn eine kritische Schwachstelle in PHP erstmals zwischen der Erstellung des Marktes und 31. Dezember 2026, 23:59 ET, öffentlich bekannt gemacht wird und bis zu diesem Stichtag alle nachstehenden Anforderungen erfüllt. Andernfalls wird dieser Markt mit „Nein“ aufgelöst. Eine öffentliche Bekanntmachung liegt vor, wenn Informationen öffentlich zugänglich sind, die ausreichen, um die konkrete Schwachstelle zu identifizieren, sei es durch eine offizielle Warnmeldung, eine Veröffentlichung durch Forschende, ein Leak oder einen öffentlichen Code-Commit. Eine allgemeine Warnung vor einer nicht näher bezeichneten Schwachstelle genügt allein nicht. Eine Schwachstelle, die bereits vor der Erstellung des Marktes öffentlich bekannt gemacht wurde, erfüllt die Anforderungen nicht allein deshalb, weil sie während des Marktzeitraums eine CVE-Kennung oder eine qualifizierende Bewertung erhält. Eine qualifizierende Schwachstelle muss PHP selbst betreffen (den PHP-Interpreter und die Erweiterungen, die im offiziellen php-src-Quellcode enthalten sind), muss eine öffentlich verfügbare CVE-Kennung erhalten und muss vom PHP-Projekt oder der US-amerikanischen National Vulnerability Database (NVD) eine öffentlich veröffentlichte CVSS-Basisschweregradbewertung von mindestens 9.0 erhalten (gemäß einer beliebigen CVSS-Version). Schwachstellen, die nur nicht mehr unterstützte PHP-Versionen oder optionale enthaltene Erweiterungen betreffen, erfüllen die Anforderungen, sofern sie die übrigen Anforderungen erfüllen. Erweiterungen, die getrennt von php-src verbreitet werden (zum Beispiel über PECL), erfüllen die Anforderungen nicht. Eine qualifizierende Bewertung aus einer der beiden Quellen reicht aus, unabhängig davon, ob die andere Quelle oder eine andere CVSS-Version eine niedrigere Bewertung ausweist. Es zählt nur eine Bewertung, die von der NVD selbst (NIST zugeschrieben) oder vom PHP-Projekt veröffentlicht wurde; von der NVD angezeigte Bewertungen, die einer anderen Organisation zugeschrieben werden, erfüllen die Anforderungen nicht. Sobald während des Marktzeitraums alle Anforderungen erfüllt sind, wirken sich spätere Änderungen der Bewertung nicht auf die Auflösung aus. CVE-2026-109618 und CVE-2026-109619 („PHP2Shell“) erfüllen die Anforderungen nicht. Schwachstellen in Drittanbietersoftware, die in PHP geschrieben ist oder auf PHP läuft (zum Beispiel WordPress, Laravel, Drupal, Plugins oder andere Frameworks und Bibliotheken), gelten nicht als relevant. Primäre Quelle für die Auflösung dieses Marktes sind offizielle Informationen des PHP-Projekts (einschließlich php.net und der GitHub-Sicherheitswarnungen für php-src) sowie der NVD (https://nvd.nist.gov); es kann jedoch auch ein Konsens glaubwürdiger Berichterstattung herangezogen werden.

Maschinelle Übersetzung. Im Streitfall gilt das Original.