Was BSI, CISA, ENISA, Cloudflare und AWS zu PHP2Shell sagen

PHP-Projekt und PHP Foundation

Der php.net-Hinweis vom 21. Oktober ist die operative Quelle. Er sagt, beide Fehler könnten Remote-Code-Ausführung ohne Authentifizierung erlauben, jede PHP-Installation mit Webanfragen sei gefährdet, mod_php trage das höchste Risiko und nur ein Update sei eine vollständige Lösung. Die Fix-Releases sind 8.5.12, 8.4.27, 8.3.36 und 8.2.35. Laut Beitrag der PHP Foundation vom selben Tag wurde vollständige RCE auf Apache mod_php mit Standardeinstellungen vor dem Anwendungscode demonstriert und auf PHP-FPM über Anwendungspfade bestätigt. Eine Zahl von Kompromittierungen nennt die Foundation nicht.

NVD

Laut Taniums Chronologie veröffentlichte die NVD CVE-2026-109618 am 21. Oktober 2026 um 14:17 UTC als „Undergoing Analysis“. Als diese Website am 22. Oktober 2026 gegen 07:20 UTC die NVD-API abfragte, hatten beide Einträge den Status „Modified“ und trugen neben dem CVSS-v4.0-Wert 9.2 des PHP-Sicherheitsteams einen eigenen (Primary) CVSS-v3.1-Wert der NVD von 9.8 (Kritisch), Vektor AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H. Die beiden Werte stammen aus unterschiedlichen Bewertungssystemen und widersprechen sich nicht. Für die behobenen Versionen gilt der PHP-Hinweis.

CISA

Die CISA-Warnung vom 21. Oktober 2026 fordert sofortiges Patchen auf 8.5.12, 8.4.27, 8.3.36 oder 8.2.35, eine Inventur von PHP auch dort, wo es nur Bestandteil ist, und das Abschalten von Systemen ohne Updatemöglichkeit, einschließlich PHP 8.1 und älter. Eine Web Application Firewall könne bis dahin einen gewissen Schutz bieten. Zur Ausnutzung: Die CISA hatte bis zur Veröffentlichung keine beobachtet. Die Warnung sagt nicht, dass eine der CVEs in den KEV-Katalog aufgenommen wurde. Diese Website hat den KEV-JSON-Feed der CISA am 22. Oktober 2026 gegen 07:20 UTC erneut abgerufen: Katalogversion 2026.10.21 (veröffentlicht am 21. Oktober, 14:04 UTC) führte weiterhin keine der beiden CVEs.

ENISA, gemeinsame EU-Erklärung und CERT-EU

Die ENISA veröffentlichte eine gemeinsame Erklärung zu den kritischen PHP-Schwachstellen. Laut abgerufenem Text gab das PHP-Sicherheitsteam die Updates am 21. Oktober 2026 um 13:40 UTC heraus, und die Fehler können auf verwundbaren Servern ohne Authentifizierung Schadcode ausführen. Das CERT-EU-Advisory 2026-018 ist ein eigenes Dokument: Version 1.1 sagt, die Fixes seien am 21. Oktober um 13:30 UTC erschienen, PoCs kursierten, was die Wahrscheinlichkeit laufender Ausnutzung erhöhe, und rät zum sofortigen Patchen oder zur Isolierung öffentlich erreichbarer Anwendungen, bis ein Fix eingespielt und geprüft ist. Die Zeiten 13:30, 13:40 und 14:00 UTC bleiben, wie die Quellen sie nennen.

Vereinigtes Königreich und Niederlande

Das britische NCSC rät, PHP generell zu identifizieren, nicht nur alte Versionen, die Härtung des PHP-Teams anzuwenden und ein System vom Netz zu nehmen, wenn vorläufige Abschwächungen nicht rechtzeitig möglich sind. Bei exponierten Systemen solle nach Kompromittierung gesucht werden. Es verweist auf das php2shell-Repository des NCSC-NL mit Software, die von PHP abhängt – eine Ausgangsinventur, kein Beweis, dass ein nicht gelistetes Produkt sicher ist.

Kanada, Deutschland und Japan

• Canadian Centre for Cyber Security, AL26-026, 21. Oktober 2026: beide CVEs als Use-after-free beschrieben, die einem nicht authentifizierten Akteur beliebige Codeausführung erlauben könnten. Das Zentrum nennt Open-Source-Berichte über einen verfügbaren PoC und keine festgestellte aktive Ausnutzung; es nennt dieselben vier Fix-Versionen und sagt, 8.1 und älter bekämen kein offizielles Release.
• BSI, Warnung 2026-297981-1032, Version 1.0 vom 21. Oktober 2026: CVSS v4.0 9.2 bedeute Remote-Code-Ausführung ohne Authentifizierung und ohne Nutzerinteraktion. Eine bestätigte Ausnutzung sei nicht bekannt, unbestätigte Berichte über Exploits gebe es bereits. Der Patch werde für 16:00 Uhr deutscher Zeit (14:00 UTC) erwartet und solle sofort nach Erscheinen eingespielt werden. Lesen Sie das als Position des BSI zum Zeitpunkt dieser Version, nicht als spätere Entwarnung.
• JPCERT/CC hat am 22. Oktober 2026 die vollständige Warnung JPCERT-AT-2026-0033 veröffentlicht: PHPにおける複数の脆弱性（CVE-2026-109618、CVE-2026-109619）に関する注意喚起. Danach kann ein Angreifer bei Ausnutzung beliebigen Code mit den Rechten des PHP-Prozesses ausführen; JPCERT/CC bestätigt eine weite Verbreitung in Japan und fordert, die Updates zügig einzuspielen und auf eine Kompromittierung zu prüfen. Auch PHP aus Linux-Distributionen und Produkte mit eingebettetem PHP können betroffen sein. Für die Prüfung gibt die Warnung die Hinweise der Entdecker weiter: ungewöhnlich lange oder fehlerhafte PHPSESSID-Cookies in früheren Antworten, verdächtige multipart/form-data-Anfragen mit anschließenden PHP-Speicherlimit-Fehlern oder HTTP-500-Fehlern sowie unerwartet abgestürzte oder neu gestartete PHP-Worker. Fehlen diese Spuren, ist ein Angriff damit nicht ausgeschlossen. Eine eigene Feststellung zur Ausnutzung trifft die Warnung nicht. Die JVN-Liste von JPCERT/CC führte am selben Morgen einen zugehörigen Eintrag mit Zeitstempel 10:30.
• IPA (Information-technology Promotion Agency, Japan) hat am 22. Oktober 2026 die Seite PHPの脆弱性対策について (CVE-2026-109618, CVE-2026-109619: PHP2shell) veröffentlicht, als Fortsetzung ihrer Vorbereitungs-Bitte vom 21. Oktober. Sie beschreibt CVE-2026-109618 als Fehler in der Behandlung von Speichermangel (OOM) und CVE-2026-109619 als Fehler in der Request-Verarbeitung, über die ein entfernter Dritter beliebigen Code ausführen kann, nennt dieselben vier Fix-Versionen und zitiert Wiz, wonach PHP ab 5.4 von mindestens einer der beiden Lücken betroffen ist. Für PHP 8.1 und älter, die keinen Fix erhalten, rät IPA zum Wechsel auf eine unterstützte Version oder ein gepatchtes Produkt, zu Übergangsmaßnahmen oder Zugriffsbeschränkungen und, falls das nicht geht, zu erwägen, den Zugriff von außen zu sperren oder den Dienst vorübergehend abzuschalten. Eine Aussage zur Ausnutzung enthält die Seite nicht.

Singapur, Hongkong und Thailand

• Die Cyber Security Agency of Singapore, Warnung AL-2026-151 vom 21. Oktober 2026, zuletzt aktualisiert am 22. Oktober: Beide CVEs haben CVSS v4.0 9.2 und können eine Codeausführung ohne Authentifizierung ermöglichen. Unter „Known Exploitation“ heißt es, es gebe Berichte über breit angelegte Ausnutzungsversuche und mehrere entwickelte Proof-of-Concept-Exploits. Alle PHP-Versionen seien betroffen; Organisationen sollen sofort aktualisieren, internetexponierte Systeme zuerst, und prüfen, ob PHP über Drittkomponenten auf Webservern läuft, auch wenn die Hauptwebsite kein PHP nutzt.
• Die Bulletin-Liste von HKCERT vom 22. Oktober 2026 stuft „PHP Multiple Vulnerabilities“ als Extremely High Risk ein und vermerkt, dass CVE-2026-109618 und CVE-2026-109619 aktiv ausgenutzt werden. Das ist die Formulierung von HKCERT; die Zusammenfassung nennt keine kompromittierte Website.
• ThaiCERT (Thailands National Cyber Security Agency) hat am 22. Oktober 2026 um 07:40 UTC auf X eine Warnung veröffentlicht (Beitrag). Darin heißt es, ein Proof of Concept sei öffentlich verfügbar; genannt werden dieselben vier gefixten Versionen sowie PHP-FPM, Apache mod_php, php-cgi, FrankenPHP und LiteSpeed. Administratoren sollen beachten, dass Distributions- oder Panel-Pakete die alte Versionsnummer mit zurückportiertem Fix behalten können, PHP-Worker nach dem Update neu starten und Container-Images aus gepatchten Basis-Images neu bauen. Eine bestätigte Kompromittierung meldet ThaiCERT nicht.

Cloudflare und die Zahlen vom 22. Oktober

Cloudflares Blog vom 21. Oktober sagt, WAF-Regeln für kostenlose und kostenpflichtige Tarife seien ab 03:02 UTC aktiv gewesen, die Lücke sei vor dem offiziellen Release durchgesickert und Cloudflare habe Angriffsverkehr und gegen die Regeln gerichtete Payload-Änderungen beobachtet; Kunden sollten trotzdem patchen. Ein Reuters-Bericht vom 22. Oktober 2026 zitiert Matthew Prince aus einem Beitrag auf X (den diese Website nicht geöffnet hat): Tausende Versuche in den zehn Stunden vor der Ankündigung, Zehntausende in den 45 Minuten danach, Hunderttausende binnen zwei Stunden und Millionen zum Zeitpunkt des Beitrags. Derselbe Bericht sagt, Regierungswebsites in Europa und anderswo seien offline gegangen und die Mitsubishi UFJ Financial Group sowie Japans Finanzministerium hätten als Notmaßnahme vorübergehend einige Dienste ausgesetzt. Das beschreibt Abschaltungen, keine Kompromittierung durch PHP2Shell.

AWS und watchTowr

AWS sagt, MadPot habe am 17. Oktober 2026, vier Tage vor der Bekanntgabe, einen Ausnutzungsversuch gesehen und am 21. Oktober weitere Versuche und PoCs, auch vor dem Embargo-Ende. Ob diese auf echten Systemen erfolgreich gewesen wären, sei unklar; nach dem Patch werde PHP2Shell breit ausgenutzt – gemeint sind die beobachteten Versuche, keine veröffentlichte Liste kompromittierter Websites. watchTowr beobachtet aktive Ausnutzungsversuche beider CVEs in seinem Honeypot-Netz; laut SecurityWeek ohne erfolgreiche Versuche.

Datadog, Qualys, Tanium und Huntress

• Datadog Security Labs hat beide Probleme nach eigener Aussage unabhängig reproduziert und sagt, Authentifizierung in der Anwendung stoppe den mod_php-Pfad nicht. Nur Patchen sei eine vollständige Lösung. Reproduktionsschritte geben wir nicht wieder.
• Qualys rät in einem Update vom 21. Oktober 2026, öffentlich erreichbares PHP zu priorisieren, beginnend mit Apache mod_php.
• Tanium sagt, Ausnutzung in freier Wildbahn sei gemeldet, zuverlässige öffentliche Exploits seien beim Verfassen aber noch rar gewesen und keine CVE habe im geprüften KEV-Update vom 21. Oktober gestanden.
• Huntress rät zum sofortigen Update auf 8.5.12, 8.4.27, 8.3.36 oder 8.2.35 und hatte im per Suche angezeigten Teil noch keine Ausnutzung bei seinen Partnern gesehen.

Distributionen und Panel-Anbieter in Kürze

Red Hats Bulletin RHSB-2026-013 sagt, einige Updates seien verfügbar, weitere in Arbeit. Ubuntu hat Fixes für alle unterstützten Releases veröffentlicht. cPanel hat Updates für ea-php74 und höher herausgegeben, Plesk Fixes für das mitgelieferte PHP. Details und Grenzen dieser Aussagen stehen auf der Herstellerseite.