Sicherheitshinweis · PHP2Shell · 22. Oktober 2026
PHP2Shell: kritische PHP-Sicherheitslücke mit Remote-Code-Ausführung (CVE-2026-109618, CVE-2026-109619)
Dies ist ein inoffizielles Briefing. Es ist nicht php.net, nicht die NVD und nicht die CISA. Der Aufbau folgt einem PHP-Sicherheitshinweis, damit Betreiber die Fakten schnell erfassen.
Zuletzt aktualisiert
1. Meldung
Am 21. Oktober 2026 veröffentlichte das PHP-Projekt einen Sicherheitshinweis zu zwei kritischen Fehlern in der PHP-Laufzeit, die Remote-Code-Ausführung ohne Authentifizierung erlauben. Gebräuchlich ist der Name PHP2Shell, bei der CISA „php2shell“.
| ID | Zusammenfassung | CVSS v4.0 |
|---|---|---|
| CVE-2026-109618 | RCE durch Speicherkorruption bei Out-of-Memory (GHSA-w8hw-w9fx-j79w). Höchstes Risiko laut PHP bei Apache mod_php. | 9.2 |
| CVE-2026-109619 | RCE durch veralteten globalen Zustand (GHSA-6wmf-4rv5-p3rp), der zwischen Anfragen desselben Workers weiterverwendet wird. | 9.2 |
| Zweig | Status vor dem Patch | Fix-Release (21. Okt. 2026) |
|---|---|---|
| PHP 8.5 | Betroffen | 8.5.12 |
| PHP 8.4 | Betroffen | 8.4.27 |
| PHP 8.3 | Betroffen | 8.3.36 |
| PHP 8.2 | Betroffen | 8.2.35 |
| PHP 8.1 und älter | Kein neues offizielles Release des PHP-Projekts; einige Anbieter liefern Backports | Siehe Anbieter / Hinweise zu EOL-Versionen |
Bestätigte Angriffsaktivität (öffentliche Quellen)
- AWS MadPot meldete einen Ausnutzungsversuch am 17. Oktober 2026, noch vor der öffentlichen Bekanntgabe.
- Cloudflare, AWS und watchTowr beschreiben nach dem Hinweis große Mengen an Ausnutzungsversuchen; Cloudflares CEO schrieb am 22. Oktober, die Versuche seien von Tausenden auf Millionen gestiegen.
- Eine bestätigte Kompromittierung namentlich bekannter Produktiv-Websites ist in den für diese Seite geprüften Quellen nicht belegt. Laut Sekundärberichten standen die CVEs am 22. Oktober nicht im CISA-KEV-Katalog; prüfen Sie den KEV-Katalog selbst.
2. Prüfen, ob Sie betroffen sind
Geben Sie die PHP-Version ein, die Ihre Web-SAPI meldet (php -v, Hosting-Panel oder phpinfo()). Diese Prüfung vergleicht nur Versionsnummern mit den Upstream-Fix-Releases. Backports von Anbietern erkennt sie nicht.
- Seiten pro Zweig: 8.5, 8.4, 8.3, 8.2, EOL 5–8.1.
- Gesamtübersicht: Betroffene Versionen.
- Chinesisches Hosting-Panel: 宝塔面板.
3. Bekannte Websites und Hersteller
| Hersteller | Status | Anmerkungen |
|---|---|---|
| Cisco | In Prüfung | Prüft viele Produkte; im gesichteten Hinweis keines als betroffen bestätigt. |
| Red Hat | Teilweise behoben | Einige Pakete aktualisiert; prüfen Sie Ihre Kanäle. |
| Ubuntu | Behoben | Sicherheitsupdates für unterstützte Releases veröffentlicht. |
| Debian | Behoben | DLA-4848-1 (12 bookworm) und DSA-6574-1 (13 trixie). |
| cPanel | Behoben | Panel-Pakete aktualisiert. |
| Plesk | Behoben | Panel-Pakete aktualisiert. |
| Sophos | Nicht betroffen | Der Hersteller erklärt, seine Produkte seien nicht betroffen. |
| AWS | Teilweise behoben | Bulletin 2026-143-AWS: Updates für Elastic Beanstalk, Amazon Linux und Lightsail laufen an; Lightsail braucht neue Instanzen. |
Mehr dazu: Herstellerstatus · Einschätzungen der Behörden.
4. Beheben und patchen
- Aktualisieren Sie auf PHP **8.5.12**, **8.4.27**, **8.3.36** oder **8.2.35** (oder neuer im selben Zweig). Quellcode und Windows-Builds: php.net Downloads.
- Starten Sie jeden Worker neu, der Anfragen bedient (Apache mit mod_php, PHP-FPM-Pools, php-cgi, FrankenPHP, LiteSpeed, Container).
- PHP 8.1 und älter: Backport vom Anbieter beziehen, bei eigenen Builds aus den minimalen Quellcode-Backports des Projekts für 7.4/8.0/8.1 neu bauen oder den Dienst bis zum Upgrade vom Netz nehmen – im Einklang mit der CISA-Empfehlung für Systeme, die nicht aktualisiert werden können.
- WAF-Regeln und die vorläufigen
php.ini-Maßnahmen aus dem PHP-Hinweis verringern nur einzelne Pfade. Sie sind keine vollständige Lösung.
Schritt für Schritt für apt, yum, Docker, cPanel, Plesk und mehr: Abhilfe.
5. Weltweite Verbreitung und der Druck des KI-Zeitalters auf Altsysteme
Öffentliche Schätzungen sind groß und keine Zählung erfolgreich gehackter Websites. The Record (unter Berufung auf eine VirusTotal-Analyse) und ein Beitrag von ThreatCluster nennen beide rund **5,1 Millionen** als PHP erkannte Internetadressen (laut ThreatCluster geben nur etwa 1,1 Millionen einen Versions-Header aus). Eine früher zitierte Untersuchung sah Censys-artige Schätzungen bei über **1,3 Millionen** betroffenen Hosts. Bitsights jüngste PHP-Beobachtungen konzentrieren sich auf die USA, Deutschland, Frankreich, die Niederlande und Japan – kein Beweis, dass ein Land „veralteter“ ist.
Wir erfinden **keine** Summe für weltweite Schäden. Solange Versicherer, Regierungen oder Offenlegungen keine zurechenbaren Kosten veröffentlichen, wäre jede Zahl Spekulation.
Warum das im KI-Zeitalter härter trifft
- Berichte zu PHP2Shell (darunter Wiz und The Records Artikel über die PHP Foundation) beschreiben, wie KI-gestützte Prüfungen halfen, kritische Fehler in einer jahrzehntealten Laufzeit zu finden. Angreifer haben denselben Hebel: Sobald ein PoC existiert, skalieren Scans und Bewaffnung schneller als manuelle Patch-Zyklen auf vergessenen Hosts.
- PHP ohne Support (5.x bis 8.1 ohne Backport) ist auf Shared Hosting, Appliances und „einmal eingerichteten“ CMS-Websites weiterhin verbreitet. Oft fehlt jemand, der noch weiß, wie man aktualisiert – eine RCE auf Sprachebene wird so zum internetweiten Aufräumproblem statt zu einem App-Bugfix.
- Die praktische Lehre für Betreiber: jeden Ort inventarisieren, an dem PHP eingebettet ist, am Tag des Hinweises patchen und Zweige ausmustern, die das PHP-Projekt nicht mehr ausliefert. Die Lehre für die Branche: KI verkürzt die Zeit von der Entdeckung bis zur Ausnutzung; die Patch-Latenz auf Altsystemen ist die eigentliche Angriffsfläche.
Quellen
Externe Links verlassen diese Website. Wir hosten keinen Exploit-Code.
- News archive 2026: security advisory, 21 October 2026 — PHP project (php.net)
- Today’s PHP security release, and how we’re strengthening PHP security — The PHP Foundation
- CVE-2026-109618: PHP 8.2–8.5 RCE via OOM corruption — oss-security (Jakub Zelenka, PHP security team)
- Critical vulnerabilities in PHP require immediate patching (21 October 2026) — CISA
- Joint statement on critical PHP vulnerabilities — ENISA
- Critical security issue affecting PHP — UK NCSC
- AL26-026 — Critical vulnerabilities impacting PHP — Canadian Centre for Cyber Security
- Amazon Threat Intelligence identifies PHP2Shell exploitation prior to public disclosure in MadPot — AWS Security Blog
- Cloudflare deploys protections against php2shell vulnerability — Cloudflare
- 2026-143-AWS — PHP web runtimes (CVE-2026-109618 and CVE-2026-109619) — AWS Security Bulletins
- PHP2Shell: PHP remote code execution exploited — watchTowr
- PHP2Shell: AI uncovers critical RCE vulnerabilities affecting 70% of the Internet — Wiz Research
- PHP says AI review of critical bugs first sparked alarm in August, but signs surfaced in 2024 — The Record
- Sizing the PHP exposure window for CVE-2026-109618 and CVE-2026-109619 — ThreatCluster (VirusTotal Internet scanning write-up)
- Notice: php2shell, critical PHP vulnerabilities (status as of 21 October 2026, 20:00 UTC) — Expel
- PHP2Shell patches land as first exploitation attempts hit sensors — SecurityWeek
- Known Exploited Vulnerabilities catalog — CISA