Nicht php.net · Nicht NVD · Nicht CISA

PHP-Sicherheitslücken-Tracker

Inoffizielles Briefing zu Sicherheitslücken in PHP

English简体中文日本語DeutschFrançaisNederlandsEspañol

Sicherheitswarnung

PHP2Shell: PHP aktualisieren. Nur das behebt die Lücke vollständig.

CVE-2026-109618 und CVE-2026-109619 sind kritische Schwachstellen in PHP selbst, die Remote-Code-Ausführung ohne Authentifizierung erlauben. Das PHP-Projekt hat am 21. Oktober 2026 Updates für die unterstützten Zweige 8.2 bis 8.5 veröffentlicht. Starten Sie PHP nach dem Update neu. Eine Firewall ersetzt das Update nicht.

Schritte zur Behebung

Datenschutz

Datenschutzhinweis: was diese Briefing-Website speichert

Die Seiten sind statische Dateien. Es gibt kein Konto, kein Kommentarfeld und kein eigenes Analyseprodukt. Das einzige optionale Drittanbieterskript ist Google AdSense, und es wird nur geladen, wenn eine Publisher-ID konfiguriert ist und Sie dem Banner zustimmen.

Zuletzt aktualisiert

Hosting

Die Website wird über einen Cloudflare Worker mit statischen Assets unter phpvulnerabilities.app ausgeliefert. Cloudflare verarbeitet Verbindungsdaten wie IP-Adresse und Anfrage-Header gemäß der Datenschutzrichtlinie von Cloudflare. Ein separates Anfrageprotokoll für redaktionelle Zwecke führen wir nicht.

Versionsprüfung

Das Werkzeug auf der Seite zu betroffenen Versionen vergleicht die eingegebene Nummer mit den veröffentlichten Fix-Versionen. Das Skript übermittelt diese Nummer nicht. Sie bleibt in Ihrem Browser, bis Sie die Seite verlassen.

Werbung und Cookies

Anzeigenplätze bleiben leer, solange ADSENSE_CLIENT in der Konfiguration leer ist – das ist die Voreinstellung. Sind eine Publisher-ID und mindestens eine Slot-ID gesetzt, kann die Website Google AdSense laden, nachdem Sie im Banner „Akzeptieren“ gewählt haben. AdSense kann Cookies setzen und personenbezogene Daten zur Personalisierung und Messung von Anzeigen nutzen. Google beschreibt diese Verarbeitung in seiner Richtlinie zu Partner-Websites.

Lehnen Sie ab oder ignorieren Sie das Banner, wird das AdSense-Skript nicht eingebunden. Die Wahl wird im localStorage dieses Ursprungs unter dem Schlüssel pva-consent gespeichert. Dieser Schlüssel ist kein Werbe-Cookie. Das Löschen der Website-Daten für phpvulnerabilities.app entfernt ihn.

Ist ADSTERRA_ENABLED in der Konfiguration aktiv, lädt jede Inhaltsseite zusätzlich eine native Adsterra-Einheit. Es handelt sich um ein asynchrones Skript von bauval.org, gekennzeichnet als Anzeige, und nicht um die AdSense-Einheit. Die AdSense-Plätze bleiben aus, bis eine Publisher-ID gesetzt ist. Das Adsterra-Skript wird nicht durch das AdSense-Banner zurückgehalten. Eine von Google zertifizierte CMP ist weiterhin nicht eingebunden.

Kontakt per E-Mail

Schreiben Sie an contact@phpvulnerabilities.app, wird die Nachricht als gewöhnliche Korrespondenz von der Person behandelt, die das Postfach betreibt. Senden Sie keine Passwörter, keinen Exploit-Code und keine Daten über Dritte. Das E-Mail-Feld auf der Überblicks- und der Kontaktseite ist ein Platzhalter: Der Browser sendet es nicht, und diese statische Website hat keinen Ort, die Adresse zu speichern.

Kinder

Die Website richtet sich an Systemadministratoren und Entwickler. Sie richtet sich nicht an Kinder, und wir erheben wissentlich keine personenbezogenen Daten von Kindern.

Quellen

Externe Links verlassen diese Website. Wir hosten keinen Exploit-Code.

  1. How Google uses information from sites or apps that use our services — Google
  2. Privacy policy — Cloudflare