Produkte und Stacks · Firewalls, Appliances und IT-Tools

PHP2Shell in Fortinet: betroffen und wie beheben

Kurzurteil

Betroffen, und der Hersteller hat noch keinen Fix geliefert.

Herstellerstatus: Betroffen, noch kein Fix
PHP: bundled (under investigation)
Zuletzt geprüft: 2026-10-22

Fortinets PSIRT-Advisory FG-IR-26-186 (21. Oktober 2026) sagt, Fortinet untersuche die Auswirkungen. In Untersuchung: FortiADC, FortiADC Manager, FortiDDoS, FortiDDoS-F, FortiSIEM, FortiMonitor, FortiClient Cloud, FortiSOAR, FortiSOAR PaaS, FortiGuard und FortiEndpoint. Bestätigt nicht betroffen: FortiOS, FortiProxy, FortiManager, FortiAnalyzer, FortiWeb, FortiMail, FortiMail Cloud, FortiSandbox, FortiNAC, FortiNAC-F, FortiAuthenticator, FortiSwitch, FortiAP, FortiGate Cloud, FortiSASE, FortiPAM, FortiDeceptor, FortiClient EMS und die FortiClient-Apps. Unabhängig davon nennt FortiGuard Labs IPS-Virtual-Patches für beide CVEs (Signaturpaket 37.316) zum Schutz anderer PHP-Server.

So prüfen Sie die PHP-Version von Fortinet

Führen Sie den passenden Befehl aus. Eine Version ab 8.2.35, 8.3.36, 8.4.27 bzw. 8.5.12 im jeweiligen Zweig ist gepatcht; ältere Zweige nur mit einem Hersteller-Build, der das ausdrücklich sagt.

get system status

Auf der CLI von FortiADC oder FortiDDoS ausführen; bei FortiSIEM und FortiSOAR die Version in der GUI ablesen und mit FG-IR-26-186 abgleichen.

Das Kommandozeilen-php kann sich vom PHP unterscheiden, das die Website ausliefert. Prüfen Sie sicherheitshalber die Web-SAPI (temporäre phpinfo()-Seite hinter Login oder die PHP-Einstellungen im Panel) und entfernen Sie sie danach. Unser Versions-Check vergleicht die Nummer für Sie.

🔎 Versionsnummer gefunden? Prüfen Sie sie im PHP2Shell-Checker →

So beheben Sie PHP2Shell in Fortinet

Die Management-Oberflächen von FortiADC, FortiDDoS, FortiSIEM und FortiSOAR nicht ins Internet stellen, nur aus einem Management-Netz oder per VPN erreichbar machen.
FG-IR-26-186 auf das Ergebnis je Produkt und gepatchte Versionen beobachten und sie sofort installieren.
Bis der Hersteller gepatchtes PHP liefert, darf die PHP-basierte Oberfläche aus nicht vertrauenswürdigen Netzen nicht erreichbar sein: auf Management-Netz, IP-Allowlist oder VPN beschränken.
Das Hersteller-Update sofort nach Erscheinen installieren und die Version erneut prüfen.

Die Prüfung lieber einem KI-Agenten überlassen? Betroffenheit prüfen · Mit KI-Agent beheben

Wenn Sie noch nicht patchen können

session.upload_progress.enabled = 0 dort setzen, wo Anwendungen es nicht überschreiben können (php.ini, php_admin_value im FPM-Pool oder in der Apache-Konfiguration), und PHP neu starten.
Unter PHP 8.5 fatal_error_backtraces = 0 setzen.
PHPs Übergangsempfehlung umfasst auch memory_limit und ein niedriges post_max_size; folgen Sie genau der Abhilfe-Seite, denn diese Einstellungen decken nur einige Pfade ab.
Bei PHP 8.1 oder älter ohne Hersteller-Backport Zugriff beschränken (VPN, IP-Allowlist) oder den Dienst offline nehmen. WAF-Regeln helfen, sind aber kein Fix.

FAQ

Ist Fortinet von PHP2Shell betroffen?

Betroffen, und der Hersteller hat noch keinen Fix geliefert. Fortinets PSIRT-Advisory FG-IR-26-186 (21. Oktober 2026) sagt, Fortinet untersuche die Auswirkungen. In Untersuchung: FortiADC, FortiADC Manager, FortiDDoS, FortiDDoS-F, FortiSIEM, FortiMonitor, FortiClient Cloud, FortiSOAR, FortiSOAR PaaS, FortiGuard und FortiEndpoint. Bestätigt nicht betroffen: FortiOS, FortiProxy, FortiManager, FortiAnalyzer, FortiWeb, FortiMail, FortiMail Cloud, FortiSandbox, FortiNAC, FortiNAC-F, FortiAuthenticator, FortiSwitch, FortiAP, FortiGate Cloud, FortiSASE, FortiPAM, FortiDeceptor, FortiClient EMS und die FortiClient-Apps. Unabhängig davon nennt FortiGuard Labs IPS-Virtual-Patches für beide CVEs (Signaturpaket 37.316) zum Schutz anderer PHP-Server.

Behebt ein Update von Fortinet selbst CVE-2026-109618 und CVE-2026-109619?

Nur wenn das Update gepatchtes PHP enthält. PHP2Shell ist eine Lücke im PHP-Interpreter; entscheidend ist das PHP, auf dem Fortinet läuft. Prüfen Sie die Version nach dem Update.

Welche PHP-Versionen beheben PHP2Shell?

PHP 8.2.35, 8.3.36, 8.4.27 und 8.5.12, veröffentlicht am 21. Oktober 2026. PHP 8.1 und älter bekommen kein Release vom PHP-Projekt; nur Hersteller-Builds mit Backport (oder selbst gebaute Quell-Patches für 7.4, 8.0 und 8.1) beheben sie.

Was, wenn es für Fortinet noch keinen Fix gibt?

Die PHP-basierte Weboberfläche vom Internet fernhalten (VPN oder IP-Allowlist), PHPs Übergangseinstellungen wie das Abschalten von Session-Upload-Progress anwenden und das Hersteller-Update sofort installieren. Übergangseinstellungen senken das Risiko, sind aber kein Fix.

← Alle Produkte mit eingebautem PHP

Siehe auch: Abhilfe nach Plattform · Betroffene Versionen · Herstellerstatus

Quellen

Externe Links verlassen diese Website. Wir hosten keinen Exploit-Code.

Inoffizielle Zusammenfassung öffentlicher Quellen. Diese Website ist weder mit dem Hersteller noch mit dem PHP-Projekt verbunden und hostet keinen Exploit-Code.