Was ist PHP2Shell? Zwei kritische RCE-Lücken in PHP

Was laut PHP-Projekt gefährdet ist

Der Hinweis von php.net vom 21. Oktober erfasst jede PHP-Installation, die Webanfragen bedient, und nennt PHP-FPM, Apache mit mod_php, php-cgi, FrankenPHP und LiteSpeed. Das höchste Risiko sieht das Projekt bei mod_php: Ein demonstrierter Exploit lasse eine nicht authentifizierte Anfrage den Angriff auslösen, bevor Anwendungscode läuft. Härtung auf Anwendungsebene hilft auf diesem Pfad nicht.

Derselbe Hinweis sagt, nur ein Update sei eine vollständige Lösung. Vorläufige Einstellungen verringern die Angriffsfläche für bestimmte Pfade und machen eine Installation nicht sicher. Die CISA kommt zum gleichen Schluss: sofort patchen und PHP-basierte Systeme vom Netz nehmen, wenn kein Update möglich ist, ausdrücklich auch PHP 8.1 und älter.

Wie sich die beiden Fehler unterscheiden

Beide sitzen in Code, den fast jede Anfrage durchläuft. Die PHP Foundation beschreibt CVE-2026-109618 als Out-of-Memory-Behandlung, die teilweise initialisierte interne Daten hinterlassen kann, die PHP später als gültig behandelt. CVE-2026-109619 beschreibt sie als fatalen Fehler im falschen Moment, nach dem interner Zustand auf Speicher einer früheren Anfrage zeigt, sodass eine spätere Anfrage auf demselben Worker freigegebenen Speicher nutzt. Wiz und Cloudflare nennen neben Remote-Code-Ausführung und Denial of Service auch die Offenlegung von Prozessspeicher, der Geheimnisse anderer Anfragen enthalten kann. Diese Seite beschreibt keinen Exploit-Aufbau.

• CVE-2026-109618OOM-Korruption. CVSS v4.0 9.2. GHSA-w8hw-w9fx-j79w.
• CVE-2026-109619Veralteter globaler Zustand. CVSS v4.0 9.2. GHSA-6wmf-4rv5-p3rp.

Welche Versionen

Die kursierenden Bereiche sind nicht identisch, und sie zu vereinheitlichen, würde eine Genauigkeit erfinden, die die Hersteller nicht veröffentlicht haben. Die oss-security-Meldung des PHP-Sicherheitsteams zu CVE-2026-109618 nennt PHP 8.2 vor 8.2.35, 8.3 vor 8.3.36, 8.4 vor 8.4.27 und 8.5 vor 8.5.12. Das sind die Zweige mit Release-Paketen. Das Projekt sagte außerdem, 8.1 und älter hätten keinen Upstream-Support mehr und es habe minimale Quellcode-Backports für 7.4, 8.0 und 8.1 veröffentlicht.

Wiz sagt, jede PHP-Version der letzten etwa zehn Jahre bis zurück zu 5.4 sei von mindestens einem der Fehler betroffen. Google Cloud nennt 5.4 bis 8.5.11, Cloudflare PHP 5.4 oder neuer. watchTowrs FAQ, erstmals am 20. Oktober vor dem Herstellerhinweis veröffentlicht, nennt PHP 5, 7 und 8. Expel sieht in den Backports einen Beleg, dass 7.4, 8.0 und 8.1 betroffen sind, und sagt, PHP habe sich zu 7.3 und älter nicht geäußert; Expel rät, jedes PHP ohne Support mit Webverkehr als gefährdet zu betrachten. Die Versionstabelle stellt diese Aussagen nebeneinander.

Ausnutzung: Versuche, keine bestätigte Zahl von Einbrüchen

• AWS sagt, ein MadPot-Honeypot habe am 17. Oktober 2026, vier Tage vor der Bekanntgabe, einen Ausnutzungsversuch von einer IP eines kommerziellen Anonymisierungsnetzes registriert. Am 21. Oktober seien weitere Versuche und Proof-of-Concept-Exploits aufgetaucht, einige Stunden vor dem Ende des Embargos; ob einer davon auf echten Systemen erfolgreich gewesen wäre, sei unklar. Nach dem Patch beschreibt AWS breite Ausnutzungsversuche.
• Cloudflare sagt, es habe Angriffsverkehr beobachtet, nachdem Details vor dem offiziellen Release durchgesickert waren, und Angreifer hätten Payloads verändert, um WAF-Regeln zu umgehen. Eine Zahl erfolgreicher Kompromittierungen nennt Cloudflare im gesichteten Beitrag nicht.
• watchTowr sagt, es beobachte aktive Ausnutzungsversuche beider CVEs. SecurityWeek berichtet, watchTowr habe keine erfolgreichen Versuche beobachtet.
• Die CISA-Warnung vom 21. Oktober sagt, die CISA habe bis zur Veröffentlichung keine Ausnutzung beobachtet, und drängt dennoch zum sofortigen Patchen.
• Expel (Stand 21. Oktober 2026, 20:00 UTC) hatte keine Ausnutzung bei Kunden bestätigt, und keine der CVEs stand im CISA-KEV-Katalog. watchTowrs FAQ vom 22. Oktober führt KEV weiterhin als nicht gelistet, ebenso Tanium für das KEV-Update vom 21. Oktober um 14:04 UTC. Diese Website hat den KEV-JSON-Feed der CISA am 22. Oktober 2026 gegen 07:20 UTC erneut abgerufen: Katalogversion 2026.10.21 (veröffentlicht am 21. Oktober, 14:04 UTC) führte weiterhin keine der beiden CVEs.

Öffentlichen Proof-of-Concept-Code melden AWS, das Canadian Cyber Centre (als Open-Source-Meldung) und Expel. Expel ergänzt, dass kursierender Code ungeprüft und teils bösartig sein kann. Wir verlinken oder reproduzieren ihn nicht.

Größenordnung, vorsichtig betrachtet

Wiz nennt als Kernzahl, dass PHP die große Mehrheit der Websites antreibt; Cloudflare spricht von fast 70 Prozent. Das ist ein Anteil an Websites, keine Zahl ausnutzbarer Server. Die in The Record wiederholte Schätzung liegt bei rund 5,1 Millionen IP-Adressen laut VirusTotal-Analyse, mit den Vorbehalten auf der Startseite. ThreatCluster sagt, etwa vier von fünf erkannten PHP-Servern geben keine Versionsangabe preis.

PHP steckt auch in Appliances und Hosting-Panels. Das britische NCSC verweist auf ein Verzeichnis des NCSC-NL mit Produkten, die von PHP abhängen, als Ausgangsliste, nicht als vollständige Erhebung. Google Cloud sagt, die eigene Plattform sei als solche nicht verwundbar, Kunden mit PHP auf App Engine, Cloud Run, GKE oder Marketplace-Images könnten es aber sein.

Die Entdeckung aus Sicht der Beteiligten

Wiz Research sagt, die Fehler hätten über ein Jahrzehnt bestanden und Frontier-Modelle hätten eine Exploit-Kette praktikabel gemacht. Google Cloud nennt Wiz und sagt, Gemini 4 Argon habe zu Entdeckung, Exploit-Entwicklung, Erkennung und Patch-Validierung beigetragen. The Record berichtet, die PHP Foundation habe gesagt, eine KI-Prüfung habe im August 2026 erstmals Alarm ausgelöst, Anzeichen habe es 2024 gegeben. Das sind Angaben der beteiligten Organisationen. An der Abhilfe ändern sie nichts: aktualisieren.