Nicht php.net · Nicht NVD · Nicht CISA

PHP-Sicherheitslücken-Tracker

Inoffizielles Briefing zu Sicherheitslücken in PHP

English简体中文日本語DeutschFrançaisNederlandsEspañol

Sicherheitswarnung

PHP2Shell: PHP aktualisieren. Nur das behebt die Lücke vollständig.

CVE-2026-109618 und CVE-2026-109619 sind kritische Schwachstellen in PHP selbst, die Remote-Code-Ausführung ohne Authentifizierung erlauben. Das PHP-Projekt hat am 21. Oktober 2026 Updates für die unterstützten Zweige 8.2 bis 8.5 veröffentlicht. Starten Sie PHP nach dem Update neu. Eine Firewall ersetzt das Update nicht.

Schritte zur Behebung

CVE-2026-109619 · GHSA-6wmf-4rv5-p3rp

CVE-2026-109619: Remote-Code-Ausführung in PHP durch veralteten globalen Zustand

Die Beschreibung des PHP-Projekts zu CVE-2026-109619 ist kurz und konkret: Interner, an eine Anfrage gebundener Zustand kann fortbestehen, nachdem sein Speicher freigegeben wurde, und eine spätere Anfrage auf demselben Worker kann diesen veralteten Zustand nutzen, bevor die normale Initialisierung ihn zurücksetzt. Bewertet als kritisch, CVSS v4.0 9.2 – derselbe Wert wie bei CVE-2026-109618.

Zuletzt aktualisiert

Kennungen. Der Wert 9.2 wird vom PHP-Projekt, Partnerbehörden der CISA und dem Advisory der University of Toronto verwendet.
FeldAngabe der zitierten Quellen
CVECVE-2026-109619
GitHub-AdvisoryGHSA-6wmf-4rv5-p3rp
SchweregradKritisch. CVSS v4.0 9.2.
NVD-WertCVSS v3.1 9.8 Kritisch (AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H), Primary-Wert der NVD, am 22. Oktober 2026 über die NVD-API abgerufen.
VektorDas Advisory der University of Toronto weist beiden CVEs AV:N/AC:H/AT:P/PR:N/UI:N/VC:H/VI:H/VA:H zu. Im Meldungstext von php.net fanden wir diesen Vektor nicht.
Fix-ReleasesDieselben Pakete wie bei CVE-2026-109618: 8.2.35, 8.3.36, 8.4.27, 8.5.12.
SchwachstellentypUse-after-free ist der Begriff der PHP Foundation, der University of Toronto und des Canadian Cyber Centre (CWE-416). Die Überschrift bei php.net lautet „RCE via stale global state“.

Was schiefgeht, auf dem Niveau der Herstellerangaben

Laut PHP Foundation kann ein fataler Fehler an der falschen Stelle internen Zustand hinterlassen, der auf Speicher einer vorherigen Anfrage zeigt. Eine spätere Anfrage auf demselben Worker kann diesen freigegebenen Speicher dann nutzen. Die Foundation sagt, Use-after-free und ein Worker-Absturz seien bestätigt, und der Melder habe Remote-Code-Ausführung gegen eine reale Anwendung auf Apache mit mod_php demonstriert. Die Beschreibung des britischen NCSC entspricht dem Satz von php.net.

Das Advisory der University of Toronto nennt den standardmäßig aktivierten Session-Upload-Fortschritt als einen bestätigten Pfad. Laut vorläufiger PHP-Empfehlung blockiert session.upload_progress.enabled=0 die bestätigten Session-Pfade, nicht aber andere Varianten. Das Deaktivieren ist eine Abschwächung, keine Behebung. Wie eine Anfrage das Zeitfenster des fatalen Fehlers erreicht, beschreiben wir nicht.

mod_php und PHP-FPM

Expel sagt unter Berufung auf PHP, PHP habe diese CVE gegen PHP-FPM demonstriert, wenn der Anwendungscode selbst in einen fatalen Fehler getrieben werden kann. Die FPM-Gefährdung hängt von Anwendung und Konfiguration ab; PHP betrachtet FPM-Installationen dennoch als gefährdet. mod_php bleibt die Konfiguration, die das PHP-Projekt als höchstes Risiko einstuft. Das Canadian Cyber Centre wiederholt das: Ein demonstrierter Exploit auf mod_php erlaubt einer nicht authentifizierten Anfrage, die Lücke vor dem Anwendungscode auszulösen.

Behebung

Es gibt keinen separaten Patch. Installieren Sie die Releases vom 21. Oktober und starten Sie jeden Worker neu. Für PHP 8.5 nennt das Projekt zusätzlich fatal_error_backtraces=0 als vorläufige Maßnahme, die nur den bestätigten Pfad über Fatal-Backtraces blockiert. Diagnosen mit error_reporting, display_errors oder dem @-Operator zu verbergen, hilft laut php.net nicht. Google Cloud nennt für das Paar 5.4 bis 8.5.11 als verwundbar; wie das zu den tatsächlich gepatchten Zweigen passt, steht auf der Versionsseite.

Quellen

Externe Links verlassen diese Website. Wir hosten keinen Exploit-Code.

  1. News archive 2026: security advisory, 21 October 2026 — PHP project (php.net)
  2. Today’s PHP security release, and how we’re strengthening PHP security — The PHP Foundation
  3. GHSA-6wmf-4rv5-p3rp — CVE-2026-109619 — PHP (GitHub Security Advisory)
  4. Security advisory: critical unauthenticated RCE in PHP (“php2shell”) — University of Toronto Information Security
  5. Notice: php2shell, critical PHP vulnerabilities (status as of 21 October 2026, 20:00 UTC) — Expel
  6. Critical vulnerabilities in PHP require immediate patching (21 October 2026) — CISA
  7. Critical security issue affecting PHP — UK NCSC
  8. Responding to core PHP vulnerabilities CVE-2026-109618 and CVE-2026-109619 — Google Cloud
  9. CVE-2026-109619 — NVD
  10. AL26-026 — Critical vulnerabilities impacting PHP — Canadian Centre for Cyber Security