Nicht php.net · Nicht NVD · Nicht CISA

PHP-Sicherheitslücken-Tracker

Inoffizielles Briefing zu Sicherheitslücken in PHP

English简体中文日本語DeutschFrançaisNederlandsEspañol

Sicherheitswarnung

PHP2Shell: PHP aktualisieren. Nur das behebt die Lücke vollständig.

CVE-2026-109618 und CVE-2026-109619 sind kritische Schwachstellen in PHP selbst, die Remote-Code-Ausführung ohne Authentifizierung erlauben. Das PHP-Projekt hat am 21. Oktober 2026 Updates für die unterstützten Zweige 8.2 bis 8.5 veröffentlicht. Starten Sie PHP nach dem Update neu. Eine Firewall ersetzt das Update nicht.

Schritte zur Behebung

Herstellerstatus

PHP2Shell-Herstellerstatus: wer gepatcht hat und wer noch prüft

Dies sind Aussagen der Hersteller zu ihren eigenen Produkten, gelesen am 22. Oktober 2026. Ein gepatchtes Paket einer Distribution bedeutet nicht, dass jede PHP-Binärdatei auf einem Server aus dieser Distribution stammt. Ein Hersteller, der „keine Produkte als betroffen bekannt“ meldet, beschreibt den Stand einer Untersuchung, kein endgültiges Ergebnis.

Zuletzt aktualisiert

Status in den Worten des Herstellers. Daten sind Dokumentdaten.
HerstellerAussage des HerstellersDatum der Quelle
CiscoPrüft, welche Produkte und Cloud-Dienste betroffen sein könnten. Bei Veröffentlichung waren keine Produkte als betroffen bekannt, der Abschnitt „bestätigt nicht verwundbar“ war noch leer. PSIRT ist keine böswillige Nutzung gegen Cisco bekannt. Kein Workaround, der die Fehler behebt.Erstveröffentlichung 21. Oktober 2026, 19:12 GMT
Red HatTeilweise behoben. RHSB-2026-013: Fixes werden beschleunigt, einige Updates sind verfügbar, weitere in Arbeit. RHEL 10, 9, 8 und OpenShift Dev Spaces 3 sind direkt betroffen. Standard-PHP-FPM unter RHEL sei schwerer auszunutzen als mod_php. Errata wie RHSA-2026:87151 (RHEL 9 php), RHSA-2026:87080 (RHEL 8 php) und RHSA-2026:87079 (RHEL 9 php:8.3) nennen beide CVEs. Die Untersuchung läuft.Öffentlich 21. Oktober 2026
UbuntuFür unterstützte Releases behoben, einschließlich Ubuntu Pro und Legacy-ESM-Builds bis zum php5 von 14.04. Beispiele: 24.04 php8.3 in 8.3.6-0ubuntu0.24.04.13, 22.04 php8.1 in 8.1.2-1ubuntu2.28, 26.04 php8.5 in 8.5.4-0ubuntu1.5. Die Upstream-Versionsnummer ändert sich oft nicht. Dienste mit PHP nach dem Upgrade neu starten.Blogbeitrag 21. Oktober 2026
DebianFür stabile Releases behoben. DLA-4848-1: Debian 12 bookworm php8.2 8.2.35-1~deb12u1 (Debian LTS). DSA-6574-1: Debian 13 trixie php8.4 8.4.27-1~deb13u1. Der Security-Tracker führte testing (forky) php8.4 8.4.26-1 am 22. Oktober weiterhin als verwundbar.Advisories 21. Oktober 2026
cPanelFür die gelisteten Builds behoben: ea-php82 8.2.35, ea-php83 8.3.36, ea-php84 8.4.27 und ea-php85 8.5.12 sowie Backports ea-php74 7.4.33-19, ea-php80 8.0.30-12 und ea-php81 8.1.34-5. Gepatchte cPanel-&-WHM-Versionen sind unter anderem 11.110.0.153, 11.134.0.66, 11.136.0.50 und 11.138.0.18. PHP älter als 7.4 wird an TuxCare ELS verwiesen; eine CloudLinux-Tabelle verweist auf die Statusseite von CloudLinux.Aktualisiert 22. Oktober 2026
PleskBehoben, mit Build-Datum-Vorbehalt bei alten Zweigen. Fixes für Linux und Windows für PHP 8.2.35, 8.3.36, 8.4.27 und 8.5.12. EOL-Versionen 7.4.33, 8.0.30 und 8.1.34 behalten ihre Nummer; Builds vom 21. Oktober 2026 enthalten den Fix. Die eigene sw-engine des Panels ist in Plesk Obsidian 18.0.81 Update 4 und 18.0.80 Update 11 behoben.Herstellerartikel mit Bezug auf das PHP-Release vom 21. Oktober
SophosSophos-Produkte: nicht betroffen. Advisory sophos-sa-20261021-php2shell: kein Produkt betroffen, keine Maßnahme nötig. Separat lief das alte MyUTM-Lizenzportal mit einer betroffenen PHP-Version; Sophos nahm es am 21. Oktober offline, eine Log-Prüfung habe bisher keine Hinweise auf Ausnutzung ergeben, die Prüfung laufe noch.Aktualisiert 21. Oktober 2026
Palo Alto NetworksBetroffen, für PAN-OS noch kein Fix. Das Advisory führt PAN-OS 12.2, 12.1, 11.2, 11.1 und 10.2 (alle Versionen) sowie Panorama als betroffen, gefixte Versionen „ETA: TBD“. Prisma Access, Cloud NGFW, GlobalProtect App, Cortex-Produkte und Prisma Cloud gelten als nicht betroffen. Bis dahin sollen Threat-Prevention-Kunden die Threat IDs 543004 und 97622–97625 (Content 9162 oder neuer) aktivieren; das Management-Interface schützen sie nur, wenn dessen eingehender Verkehr über einen Data-Plane-Port geleitet und zur Prüfung entschlüsselt wird. Palo Alto ist keine böswillige Ausnutzung gegen eigene Produkte bekannt. Das Unit-42-Briefing sagt, man habe Proofs of Concept gesehen und mindestens eine europäische Regierung habe ihre Website vorsorglich vom Netz genommen.Veröffentlicht 21. Oktober 2026, aktualisiert 21. Oktober 23:33 UTC
AWSLaut Bulletin 2026-143-AWS sind AWS-Dienste selbst nicht betroffen; Kunden, die betroffenes PHP in den genannten Diensten betreiben, können es sein. Amazon WorkMail: Kontrollen auf Konfigurationsebene angewendet, Upgrade auf PHP 8.3.36 für den 22. Oktober geplant, keine Kundenaktion nötig. Elastic Beanstalk: Die PHP-Plattformversionen v4.13.12 vom 21. Oktober adressieren beide CVEs; ein Folge-Release mit dem Upstream-Fix von PHP ist für den 22. Oktober geplant. Mit Managed Platform Updates kommt es im nächsten Wartungsfenster, sonst müssen Sie die Plattformversion der Umgebung selbst aktualisieren. Amazon Linux: Aktualisierte PHP-Pakete sind für kommerzielle Regionen verfügbar, nicht-kommerzielle Regionen sind für den 22. Oktober geplant; Details im Amazon Linux Security Center. Lightsail: Aktualisierte Blueprints für den 21. Oktober erwartet; AWS kann laufende Instanzen nicht direkt aktualisieren, also neue Instanzen aus den aktualisierten Blueprints erstellen und migrieren. PHP 5.4 bis 8.1 erhalten keinen Upstream-Fix; AWS verlangt den Umstieg auf einen unterstützten Zweig.Veröffentlicht 21. Oktober 2026, 14:30 PDT; zuletzt aktualisiert 20:30 PDT (22. Oktober, 03:30 UTC)

Wie man „behoben“ liest

Ubuntus gepatchtes 24.04-Paket ist weiterhin PHP 8.3.6 mit neuer Paketrevision. Plesks gepatchte Builds für 7.4, 8.0 und 8.1 behalten ihre Versionsnummer und ändern das Build-Datum. Ein Vergleich von php -v mit 8.3.36 stuft diese Hosts falsch ein. Nutzen Sie die vom Hersteller veröffentlichte Paketangabe oder das Build-Datum und starten Sie die SAPI neu, die HTTP beantwortet. Die Versionsprüfung vergleicht nur Upstream-Versionsnummern und erkennt keinen Backport.

Keine öffentliche Meldung über eine kompromittierte bekannte Website

Stand 22. Oktober 2026 enthalten die für diese Seite geprüften Quellen keine öffentliche Meldung, dass eine bekannte Website über PHP2Shell kompromittiert wurde. Reuters berichtete unter Berufung auf Cloudflare von Millionen Ausnutzungsversuchen und beschrieb, dass Regierungswebsites in Europa und anderswo offline gingen sowie vorübergehende Einschränkungen bei der Mitsubishi UFJ Financial Group und Japans Finanzministerium als Notmaßnahmen. Sophos sagt, sein abgeschaltetes MyUTM-Portal zeige bisher keine Hinweise auf Ausnutzung. AWS sagt, es sei unklar, ob die gesehenen Versuche auf echten Systemen erfolgreich gewesen wären, und die CISA hatte bis zu ihrer Warnung vom 21. Oktober keine Ausnutzung beobachtet. Das Fehlen einer Opfermeldung ist kein Beweis, dass keine Kompromittierung stattfand; es beschreibt, was diese Quellen veröffentlicht haben.

Microsoft Azure App Service

Für unterstütztes PHP in den integrierten Linux-Images behoben. Laut App-Service-Team erreichten Images mit PHP 8.2.35, 8.3.36, 8.4.27 und 8.5.12 am 21. Oktober 2026 die Kanäle Latest und Standard; Extended folgt zuletzt. Eigene Container, eigenes PHP, EOL-PHP und Alpine-basierte WordPress-Images werden nicht gepatcht. Schritte: Seite zu Azure App Service.

Zur Bewertung: Azure zitiert die CVSS-v4.0-Bewertung 9.2 des PHP-Sicherheitsteams für beide CVEs und den Release-Zeitpunkt 21. Oktober, 14:00 UTC. Der Primary-Wert der NVD für CVE-2026-109618 ist CVSS v3.1 9.8 (NVD). Beides beschreibt denselben Fehler mit unterschiedlichen CVSS-Versionen.

Quellen

Externe Links verlassen diese Website. Wir hosten keinen Exploit-Code.

  1. Vulnerabilities in PHP affecting Cisco products: October 2026 — Cisco
  2. 2026-143-AWS — PHP web runtimes (CVE-2026-109618 and CVE-2026-109619) — AWS Security Bulletins
  3. RHSB-2026-013 php2shell request-handling memory corruption — Red Hat
  4. php2shell — PHP critical vulnerability fixes available — Ubuntu
  5. DLA-4848-1: php8.2 security update (Debian 12 bookworm) — Debian LTS
  6. DSA-6574-1: php8.4 security update (Debian 13 trixie) — Debian
  7. Critical PHP security release — CVE-2026-109618 and CVE-2026-109619 — cPanel
  8. Remote code execution in PHP shipped with Plesk — Plesk
  9. Advisory: PHP2Shell vulnerabilities (sophos-sa-20261021-php2shell) — Sophos
  10. Impact of critical vulnerabilities in PHP (CVE-2026-109618, CVE-2026-109619) on Palo Alto Networks products — Palo Alto Networks
  11. Threat brief: critical vulnerabilities in PHP: CVE-2026-109618, CVE-2026-109619 — Palo Alto Networks Unit 42
  12. Cloudflare sees millions of exploit attempts after PHP disclosure, 22 October 2026 — Reuters (syndicated text)
  13. News archive 2026: security advisory, 21 October 2026 — PHP project (php.net)
  14. Critical PHP security release: what it means for Azure App Service on Linux — Microsoft Azure App Service team
  15. CVE-2026-109618 — NVD
  16. CVE-2026-109618 — NVD
  17. CVE-2026-109618 — NVD
  18. CVE-2026-109618 — NVD
  19. CVE-2026-109618 — NVD
  20. CVE-2026-109618 — NVD
  21. CVE-2026-109618 — NVD