Betroffene Versionen

Welche PHP-Versionen sind von PHP2Shell betroffen?

Die einzigen Upstream-Versionsnummern, die beide CVEs schließen, sind PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35 oder spätere Versionen desselben Zweigs. Zu älteren Zweigen braucht jede Aussage einen Vorbehalt, weil die öffentlichen Analysen keinen einheitlichen Bereich verwenden.

Zuletzt aktualisiert 2026-10-22

Upstream-Status nach den Releases vom 21. Oktober 2026. „Behoben“ heißt, dass es ein offizielles PHP-Release gibt, nicht dass Ihre Pakete es schon enthalten.

Zweig	Status in den zitierten Quellen	Upstream-Fix
8.5 vor 8.5.12	Vom PHP-Sicherheitsteam als betroffen gelistet	8.5.12
8.4 vor 8.4.27	Vom PHP-Sicherheitsteam als betroffen gelistet	8.4.27
8.3 vor 8.3.36	Vom PHP-Sicherheitsteam als betroffen gelistet	8.3.36
8.2 vor 8.2.35	Vom PHP-Sicherheitsteam als betroffen gelistet	8.2.35
8.1	Kein offizielles Release. PHP hat nach eigener Aussage einen minimalen Quellcode-Backport veröffentlicht.	Upgrade oder ein geprüfter Backport von Anbieter / Quellcode
8.0 und 7.4	Wie 8.1: Quellcode-Backports, kein neues Upstream-Release.	Upgrade oder ein geprüfter Backport von Anbieter / Quellcode
7.3 und älter, bis 5.4	Wiz, Google Cloud und Cloudflare beschreiben Auswirkungen ab 5.4. Laut Expel hat PHP zu 7.3 und älter nichts gesagt.	Kein Upstream-Fix in diesen Linien. Ablösung planen.
PHP 5 vor 5.4	Nicht die Untergrenze bei Wiz, Google Cloud oder Cloudflare. watchTowrs FAQ vor dem Hinweis nannte PHP 5 allgemein.	Nicht im Internet betreiben. Diese Zeile ist unsicher, keine Unbedenklichkeitsbescheinigung.

Zweig für Zweig

Warum die Tabelle unter 8.2 eine Lücke hat

Jakub Zelenkas oss-security-Meldung nennt als betroffen die vier unterstützten Zweige vor den jeweiligen Patch-Ständen. Der Satz betrifft die Versionen, die das Sicherheitsteam mit Releases gepatcht hat. Er ist für sich genommen keine Aussage, dass 8.1 nicht betroffen ist. Der php.net-Hinweis sagt, 8.1 und älter bekämen keine Updates mehr vom PHP-Projekt, verweist auf Backports von Distributionen und LTS-Anbietern und nennt minimale Quellcode-Backports für 7.4, 8.0 und 8.1 für Selbstbauer. Ein Backport ist ein Beleg, dass diese drei Zweige betroffen waren – aber kein unterstütztes Release, das man von php.net installieren kann.

Wiz sagt, die Fehler reichten bis PHP 5.4 zurück. Google Cloud schreibt „alle PHP-Versionen von 5.4 bis 8.5.11“, Cloudflare „PHP 5.4 oder neuer“. ThreatCluster merkt an, dass session.upload_progress seit PHP 5.4.0 existiert und standardmäßig aktiv ist; das ist ein Pfad für CVE-2026-109619, kein Beweis, dass jeder Pfad bei 5.4 endet. watchTowr schrieb am 20. Oktober, PHP 5, 7 und 8 seien insgesamt betroffen. Expels spätere Meldung ist die vorsichtige Korrektur: 7.3 und älter seien von PHP nicht ausdrücklich bestätigt, PHP ohne Support im Web solle aber ohnehin als gefährdet gelten.

Die Prüfung vergleicht nur Versionsnummern

Sie läuft vollständig in Ihrem Browser und sendet die Version nirgendwohin. Sie kann sagen, ob ein Tripel mindestens 8.2.35, 8.3.36, 8.4.27 oder 8.5.12 ist. Sie kann nicht erkennen, ob Ubuntu, RHEL, cPanel oder ein Container-Anbieter den Fix auf eine ältere Nummer zurückportiert hat, und nicht, welche Binärdatei Ihr Webserver tatsächlich geladen hat. Vergleichen Sie nach dem Upgrade php-fpm -v oder den Build des Apache-Moduls, starten Sie den Dienst neu und prüfen Sie erneut.

Quellen

Externe Links verlassen diese Website. Wir hosten keinen Exploit-Code.

News archive 2026: security advisory, 21 October 2026 — PHP project (php.net)
CVE-2026-109618: PHP 8.2–8.5 RCE via OOM corruption — oss-security (Jakub Zelenka, PHP security team)
Today’s PHP security release, and how we’re strengthening PHP security — The PHP Foundation
PHP2Shell: AI uncovers critical RCE vulnerabilities affecting 70% of the Internet — Wiz Research
Responding to core PHP vulnerabilities CVE-2026-109618 and CVE-2026-109619 — Google Cloud
Cloudflare deploys protections against php2shell vulnerability — Cloudflare
FAQ: PHP2Shell CVE-2026-109618 and CVE-2026-109619 (published 20 October 2026, updated 22 October 2026) — watchTowr
Notice: php2shell, critical PHP vulnerabilities (status as of 21 October 2026, 20:00 UTC) — Expel
Critical vulnerabilities in PHP require immediate patching (21 October 2026) — CISA
AL26-026 — Critical vulnerabilities impacting PHP — Canadian Centre for Cyber Security
Security advisory: critical unauthenticated RCE in PHP (“php2shell”) — University of Toronto Information Security