Chronologie
PHP2Shell-Chronologie: Leck, Patches und Ausnutzungsversuche
Die Zeiten stehen so da, wie die zitierte Quelle sie angibt. ENISAs 13:40 UTC und das 14:00-UTC-Embargo von AWS stehen beide hier, weil beide Dokumente existieren. Dies ist kein Vorfallsprotokoll eigener Sensoren.
Zuletzt aktualisiert
2024, dann August 2026
Frühe Anzeichen laut PHP Foundation
The Record berichtet, die PHP Foundation habe gesagt, Anzeichen der Fehler seien 2024 aufgetaucht und eine KI-Prüfung habe im August 2026 erstmals Alarm ausgelöst. Über The Records Darstellung hinaus haben wir diese interne Chronologie nicht nachvollzogen.
17. Oktober 2026
AWS-MadPot-Versuch während des Embargos
Amazon Threat Intelligence sagt, ein Honeypot habe einen PHP2Shell-Ausnutzungsversuch von einer Adresse eines kommerziellen Anonymisierungsnetzes gesehen – vier Tage vor der Bekanntgabe. Wie die Exploit-Informationen nach außen gelangten, sei unklar, ebenso, ob der Versuch auf einem echten System funktioniert hätte.
20. Oktober 2026
Berichte über das Leck und Ankündigung eines Notfall-Releases
watchTowrs FAQ ist mit 19:35 UTC datiert und rechnete zu diesem Zeitpunkt mit einer Herstellerankündigung am 22. Oktober. Laut Tanium kündigte PHP am 20. Oktober nach dem Leck ein Notfall-Release an, und CERT-EU gab das Advisory 2026-018 heraus, das die Isolierung öffentlich erreichbarer PHP-Apps empfahl; diese Angabe stammt nur von Tanium. ThreatCluster sagt, das außerplanmäßige Release sei am 20. Oktober für den 21. Oktober, 14:00 UTC, angekündigt worden und technische Details seien Stunden vorher durchgesickert.
21. Oktober 2026, 02:00–08:00 UTC
Proof-of-Concept-Exploits vor dem Embargo-Ende
Laut AWS tauchten die frühesten Proof-of-Concept-Exploits gegen 02:00 UTC auf, mit weiteren MadPot-Versuchen von anderer anonymisierter Infrastruktur bis etwa 08:00 UTC. Unterschiedliche Payloads und Infrastruktur deutet AWS als mehrere Akteure. Der Erfolg auf realen Systemen wurde als unklar beschrieben.
21. Oktober 2026, 03:02 UTC
Cloudflare-WAF-Regeln bereits aktiv
Laut Cloudflare waren Kunden mit kostenlosen und kostenpflichtigen WAF-Tarifen ab 03:02 UTC standardmäßig geschützt, nach Cloudflares Darstellung etwa neun Stunden vor der Bekanntgabe; die Regeln seien seit Anfang Oktober mit der PHP Foundation, Wiz und OpenAI entwickelt worden. Cloudflare sah Angriffsverkehr und gegen die Regeln gerichtete Payload-Änderungen.
21. Oktober 2026, 13:40 und 14:00 UTC
Patches erscheinen
Laut gemeinsamer Erklärung der ENISA veröffentlichte das PHP-Sicherheitsteam die Updates um 13:40 UTC. AWS sagt, das Embargo sei auf 14:00 UTC gesetzt gewesen und das Release dann erfolgt. php.net, die PHP Foundation, die CISA und das Canadian Cyber Centre nennen als Fix-Versionen 8.5.12, 8.4.27, 8.3.36 und 8.2.35. Tanium nennt außerdem Windows-Builds um 13:47 UTC und einen NVD-Eintrag um 14:17 UTC; diese Zeiten haben wir nicht selbst geprüft.
21. Oktober 2026, später am Tag
Behördenwarnungen und Aussagen zur Ausnutzung
CISA, ENISA, das britische NCSC und das Canadian Centre for Cyber Security veröffentlichen Warnungen. Die CISA hatte bis zur Veröffentlichung keine Ausnutzung beobachtet. Das kanadische Zentrum nennt Open-Source-Berichte über einen PoC, ohne selbst aktive Ausnutzung festgestellt zu haben. watchTowr meldet Versuche auf seinen Sensoren; laut SecurityWeek ohne erfolgreiche Ausnutzung. Expels Stand um 20:00 UTC: keine CVE im KEV, keine bestätigte Ausnutzung bei Kunden. AWS spricht nach dem Embargo von breiter Ausnutzung – gemeint sind Versuche mit den neuen PoCs –, getrennt von bestätigtem Erfolg auf realen Systemen.
22. Oktober 2026
Redaktionsschluss dieser Website
watchTowrs FAQ-Update von diesem Tag führt CISA KEV weiterhin als nicht gelistet. Unsere Seiten beruhen auf den am 22. Oktober 2026 verfügbaren Quellen. Kommt später eine KEV-Aufnahme oder ein bestätigter Einbruch hinzu, haben die Hinweise von CISA und PHP-Projekt Vorrang vor dieser Chronologie.
Die praktische Folgerung von AWS gilt auch, wenn einzelne Uhrzeiten abweichen: Gehen Sie nicht davon aus, dass das Datum der Bekanntgabe das erste Ausnutzungsdatum ist, und planen Sie für eine kritische, öffentlich erreichbare Lücke dieser Art kein wochenlanges Zeitfenster. War diese Software exponiert, untersuchen Sie mindestens ab dem 17. Oktober.
Quellen
Externe Links verlassen diese Website. Wir hosten keinen Exploit-Code.
- PHP says AI review of critical bugs first sparked alarm in August, but signs surfaced in 2024 — The Record
- PHP2Shell: responding to CVE-2026-109618 and CVE-2026-109619 — Tanium
- FAQ: PHP2Shell CVE-2026-109618 and CVE-2026-109619 (published 20 October 2026, updated 22 October 2026) — watchTowr
- Sizing the PHP exposure window for CVE-2026-109618 and CVE-2026-109619 — ThreatCluster (VirusTotal Internet scanning write-up)
- Amazon Threat Intelligence identifies PHP2Shell exploitation prior to public disclosure in MadPot — AWS Security Blog
- Cloudflare deploys protections against php2shell vulnerability — Cloudflare
- Joint statement on critical PHP vulnerabilities — ENISA
- News archive 2026: security advisory, 21 October 2026 — PHP project (php.net)
- Today’s PHP security release, and how we’re strengthening PHP security — The PHP Foundation
- Critical vulnerabilities in PHP require immediate patching (21 October 2026) — CISA
- Critical security issue affecting PHP — UK NCSC
- AL26-026 — Critical vulnerabilities impacting PHP — Canadian Centre for Cyber Security
- PHP2Shell patches land as first exploitation attempts hit sensors — SecurityWeek
- Notice: php2shell, critical PHP vulnerabilities (status as of 21 October 2026, 20:00 UTC) — Expel
- PHP2Shell: AI uncovers critical RCE vulnerabilities affecting 70% of the Internet — Wiz Research