Nicht php.net · Nicht NVD · Nicht CISA

PHP-Sicherheitslücken-Tracker

Inoffizielles Briefing zu Sicherheitslücken in PHP

English简体中文日本語DeutschFrançaisNederlandsEspañol

Sicherheitswarnung

PHP2Shell: PHP aktualisieren. Nur das behebt die Lücke vollständig.

CVE-2026-109618 und CVE-2026-109619 sind kritische Schwachstellen in PHP selbst, die Remote-Code-Ausführung ohne Authentifizierung erlauben. Das PHP-Projekt hat am 21. Oktober 2026 Updates für die unterstützten Zweige 8.2 bis 8.5 veröffentlicht. Starten Sie PHP nach dem Update neu. Eine Firewall ersetzt das Update nicht.

Schritte zur Behebung

FAQ

PHP2Shell FAQ: was Betreiber zur PHP-Sicherheitslücke fragen

Die Antworten folgen den unten verlinkten öffentlichen Quellen. Wo diese sich widersprechen, sagt die Antwort das, statt einen Mittelwert zu bilden.

Zuletzt aktualisiert

Was ist PHP2Shell?

Ein Sammelname für CVE-2026-109618 und CVE-2026-109619, zwei kritische Schwachstellen in der PHP-Laufzeit. Laut PHP-Projekt können sie bei PHP, das Webanfragen bedient, Remote-Code-Ausführung ohne Authentifizierung erlauben. Die CISA schreibt den Spitznamen als „php2shell“.

Welche Versionen sind behoben?

PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35 oder spätere Releases dieser Zweige. Sie erschienen am 21. Oktober 2026. PHP 8.1 und älter bekamen kein offizielles Release. Minimale Quellcode-Backports gibt es für 7.4, 8.0 und 8.1.

Ist ein Upgrade die einzige vollständige Lösung?

Ja, laut PHP-Projekt und AWS. Änderungen an memory_limit, ein kleineres post_max_size, das Abschalten des Session-Upload-Fortschritts und eine Web Application Firewall sind vorläufige Maßnahmen. Laut PHP machen sie eine Installation nicht sicher.

Sind mod_php und PHP-FPM beide betroffen?

PHP nennt beide, dazu php-cgi, FrankenPHP und LiteSpeed. Das höchste Risiko sieht es bei mod_php, mit einem demonstrierten Exploit ohne Authentifizierung vor dem Anwendungscode. FPM gehört ebenfalls dazu. PHP Foundation und oss-security gewichten FPM leicht unterschiedlich; beide sagen, FPM sei zu patchen.

Wird die Lücke ausgenutzt?

Versuche: ja, laut AWS, Cloudflare und watchTowr. AWS datiert einen Honeypot-Versuch auf den 17. Oktober 2026, vier Tage vor der Bekanntgabe. Eine erfolgreiche Kompromittierung realer Produktivsysteme bestätigten weder die CISA-Warnung noch SecurityWeeks Bericht über watchTowrs Sensoren, der AWS-Beitrag (Erfolg auf echten Systemen sei unklar) oder Expels Kundenhinweis mit Stand 21. Oktober, 20:00 UTC.

Stehen die CVEs im CISA-Katalog Known Exploited Vulnerabilities?

Laut Expel stand keine der beiden am 21. Oktober 2026 um 20:00 UTC darin. Tanium beschreibt ein Katalog-Update am selben Tag um 14:04 UTC ohne die beiden. watchTowrs FAQ vom 22. Oktober sagt weiterhin: nicht gelistet. Prüfen Sie den aktuellen Katalog; diese Website fragt ihn nicht bei jedem Besuch neu ab.

Was ist mit PHP 8.1 und älter, einschließlich PHP 5?

Für sie gibt es kein offizielles Release vom 21. Oktober. Wiz, Google Cloud und Cloudflare beschreiben betroffene Versionen von PHP 5.4 bis zu den ungepatchten 8.5-Builds. watchTowr sprach von PHP 5 aufwärts. Expel merkt an, PHP habe 7.3 und älter im gesichteten Material nicht ausdrücklich bestätigt, und rät dennoch, PHP ohne Support im Web als gefährdet zu behandeln. Aktualisieren oder vom Netz nehmen.

Ersetzt eine WAF den Patch?

Nein. Die CISA sagt, eine WAF könne bis zum Patch einen gewissen Schutz bieten. Cloudflare hat Regeln ausgerollt und rät Kunden trotzdem zum Patchen. Laut PHP-Projekt ist nur ein Update vollständig.

Wie viele Server sind exponiert?

The Record berichtet über eine VirusTotal-Analyse von rund 5,1 Millionen IP-Adressen mit PHP – nicht 5,1 Millionen bestätigt verwundbare Hosts. Laut ThreatCluster geben davon etwa 1,1 Millionen eine Version an. Wiz und Cloudflare nennen separat den Anteil von PHP an Websites, nahe 70 Prozent. Das sind unterschiedliche Messungen.

Veröffentlichen Sie Exploit-Code oder einen Proof of Concept?

Nein. Öffentliche Berichte sagen, dass Proof-of-Concept-Code existiert. Expel warnt, dass einiger kursierender Code ungeprüft und möglicherweise bösartig ist. Diese Website verlinkt Hinweise und hostet keine Payloads oder Angriffsanleitungen.

Ist das eine offizielle Website von PHP, NVD oder CISA?

Nein. phpvulnerabilities.app ist ein unabhängiges Briefing ohne Verbindung zur PHP Group, php.net, NVD, NIST oder CISA. Lesen Sie die verlinkten Hinweise, bevor Sie handeln, und geben Sie ihnen bei Widersprüchen den Vorrang.

Was, wenn ich heute nicht patchen kann?

Die CISA rät, öffentlich erreichbares PHP bis zum Update vom Netz zu nehmen, besonders PHP 8.1 und älter. Muss es kurzzeitig laufen, setzen Sie die unvollständigen Einstellungen von der Abhilfe-Seite, halten Sie eine WAF davor und planen Sie das Upgrade in Stunden statt in einem 30-Tage-Patchfenster. Letzteres ist die Lehre von AWS aus diesem Ereignis, kein Versprechen, dass Stunden immer reichen.

Quellen

Externe Links verlassen diese Website. Wir hosten keinen Exploit-Code.

  1. News archive 2026: security advisory, 21 October 2026 — PHP project (php.net)
  2. Critical vulnerabilities in PHP require immediate patching (21 October 2026) — CISA
  3. Known Exploited Vulnerabilities catalog — CISA
  4. Amazon Threat Intelligence identifies PHP2Shell exploitation prior to public disclosure in MadPot — AWS Security Blog
  5. Cloudflare deploys protections against php2shell vulnerability — Cloudflare
  6. FAQ: PHP2Shell CVE-2026-109618 and CVE-2026-109619 (published 20 October 2026, updated 22 October 2026) — watchTowr
  7. Notice: php2shell, critical PHP vulnerabilities (status as of 21 October 2026, 20:00 UTC) — Expel
  8. PHP2Shell patches land as first exploitation attempts hit sensors — SecurityWeek
  9. PHP2Shell: AI uncovers critical RCE vulnerabilities affecting 70% of the Internet — Wiz Research
  10. Sizing the PHP exposure window for CVE-2026-109618 and CVE-2026-109619 — ThreatCluster (VirusTotal Internet scanning write-up)
  11. PHP says AI review of critical bugs first sparked alarm in August, but signs surfaced in 2024 — The Record