AntwortenVeröffentlicht25 Quellen
PHP2Shell: Die Sicherheitskrise im Oktober 2026
Die beiden PHP2Shell Lücken CVE 2026 109618 und CVE 2026 109619 können unauthentisierte Remote Code Ausführung ermöglichen und erhielten jeweils 9,2 Punkte nach CVSS v4.0. Nach einer vorzeitigen Veröffentlichung von Details am 20.
Veröffentlicht vonBearbeitet mit GPT-6 LunaBilder erstellt mit GPT Image 2
Forschungsantwort
Wichtige Erkenntnisse
- Die beiden PHP2Shell Lücken CVE 2026 109618 und CVE 2026 109619 können unauthentisierte Remote Code Ausführung ermöglichen und erhielten jeweils 9,2 Punkte nach CVSS v4.0.
- Nach einer vorzeitigen Veröffentlichung von Details am 20. Oktober erschienen die Notfall Updates am 21.
- Schätzungen nannten mehr als 22,6 Millionen potenziell verwundbare, exponierte Instanzen.
- Amazon meldete einen Angriffsversuch in Honeypot Daten vom 17. Oktober.
KI-Prompt
openai.comCreate a landscape editorial hero image for this Studio Global article: What happened during the October 2026 PHP2Shell security crisis, including the AI assisted discovery of CVE 2026 109618 and CVE 2026 109619. Article summary: PHP2Shell prompted emergency PHP security releases on October 21, 2026, after early disclosure disrupted the planned October 22 release; the two flaws could allow unauthenticated remote code execution.. Topic tags: general web, openai, prompt engineering, ai, code. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numb
PHP2Shell machte im Oktober 2026 deutlich, wie schnell eine Sicherheitslücke in einer weit verbreiteten Laufzeitumgebung zu einem globalen Patch-Notfall werden kann. Betroffen waren zwei Fehler im PHP-Kern, die Angreifern unter bestimmten Bedingungen erlauben konnten, ohne Anmeldung Code auf einem Server auszuführen. Die verfügbaren Berichte belegen eine hektische Reaktion und frühe Angriffsversuche – aber nicht, dass Millionen Systeme tatsächlich übernommen wurden.
KI half bei der Suche nach den Lücken
Die Schwachstellen tragen die Kennungen CVE-2026-109618 und CVE-2026-109619. Berichten zufolge entdeckte das Sicherheitsunternehmen Calif die Probleme im August im Rahmen von OpenAIs Initiative „Patch the Planet“; Wiz fand die Fehler unabhängig davon. Für die Recherche kamen demnach KI-Werkzeuge zum Einsatz: Calif nutzte GPT-5.6 Sol, während bei Wiz auch Wiz Atlas und Gemini 4 Argon genannt wurden. 6
18
21
Die technische Ursache lag in der Speicher- und Zustandsverwaltung von PHP. CVE-2026-109618 betrifft eine Speicherbeschädigung im Zusammenhang mit einem Out-of-Memory-Fehler; CVE-2026-109619 einen veralteten globalen Zustand. Beide Schwachstellen können zu Remote Code Execution führen. Die Einstufung von 9,2 nach CVSS v4.0 bedeutet: ein sehr hohes Risiko, nicht automatisch eine erfolgreiche Ausnutzung auf jedem betroffenen Server. 7
9
10
Berichte nennen PHP-Versionen von 5.4 bis 8.5 als betroffen. Das beschreibt eine große Versionsspanne, belegt für sich genommen aber kein genaues Alter der zugrunde liegenden Fehler. 6
14
Leak zog den Patch-Zeitplan vor
Die Sicherheitsupdates waren zunächst für den 22. Oktober vorgesehen. Nachdem Details bereits am 20. Oktober öffentlich geworden waren, zog das PHP-Projekt die Veröffentlichung vor: Am 21. Oktober erschienen die Versionen 8.5.12, 8.4.27, 8.3.36 und 8.2.35. PHP riet dringend zum Update für alle Installationen, die Webanfragen verarbeiten. 5
7
15
24
Für ältere oder nicht mehr regulär unterstützte PHP-Zweige sollte man nicht annehmen, dass ein Update aus diesen vier Versionen passt. Betreiber sollten prüfen, welche Korrekturen ihr Hosting-Anbieter, ihre Linux-Distribution oder ihr Softwarelieferant bereitstellt. Die konkreten Update-Wege können je nach eingesetzter Umgebung abweichen.
Auch Behörden und große Anbieter reagierten. Die US-amerikanische NSA empfahl, PHP-abhängige Dienste zu erfassen und die verfügbaren Hersteller-Patches zu priorisieren. CISA riet zum sofortigen Aktualisieren; Google, AWS und Microsoft veröffentlichten ebenfalls Hinweise für Kunden. 3
17
18
Millionen potenziell exponierte Systeme – aber keine bestätigten Millionenangriffe
PHP soll schätzungsweise rund 70 Prozent des Webs unterstützen. Palo Alto Networks bezifferte die Zahl exponierter Instanzen, die potenziell betroffen sein könnten, auf mehr als 22,6 Millionen. Diese Werte beschreiben eine mögliche Angriffsfläche – nicht die Zahl gehackter Websites. 23
Amazon Threat Intelligence meldete einen Angriffsversuch in seinen MadPot-Honeypot-Daten vom 17. Oktober, vier Tage vor der öffentlichen Bekanntgabe. Weitere Versuche wurden nach den Berichten am 21. Oktober registriert. Ein beobachteter Versuch ist jedoch nicht gleichbedeutend mit einem erfolgreichen Einbruch. 4
6
Auch die Einschätzung zur Gefahr einer massenhaften Ausnutzung wurde differenzierter: Sansec erklärte am 22. Oktober, eine breite Ausnutzung sei weniger wahrscheinlich als zunächst am Tag der Veröffentlichung befürchtet. Die vorliegenden Quellen reichen nicht aus, um daraus eine gesicherte Bilanz bestätigter erfolgreicher Angriffe abzuleiten. 10
Einige Websites sollen während der Notfallarbeiten zeitweise offline gewesen sein, damit Betreiber Updates einspielen konnten. Das zeigt den praktischen Aufwand einer solchen Krise, sagt aber allein nichts darüber aus, ob die jeweiligen Seiten zuvor angegriffen oder kompromittiert worden waren.
Weitere Warnung am 23. Oktober
Am 23. Oktober wies PHP auf eine weitere, als unwahrscheinlich beschriebene Remote-Code-Ausführungsmöglichkeit hin: CVE-2026-115560. Sie setzt eine ungewöhnliche Kombination aus Konfiguration und Anwendungscode voraus. Als Zwischenmaßnahme empfahl PHP, session.upload_progress.enabled=0 zu setzen, bis ein reguläres Bugfix-Release verfügbar ist. 19
Was sich aus den Berichten nicht sicher ableiten lässt
Die verfügbaren Quellen belegen die KI-gestützte Suche, die Notfall-Patches und die gemeldeten Angriffsversuche. Sie belegen dagegen nicht zuverlässig eine vollständige Geschichte der früheren Bearbeitung des Problems durch die PHP Foundation, die behaupteten internen Ressourcenengpässe oder die konkreten Angaben zu einem PHP-Version-Checker und einer Daybreak-Förderzusage von OpenAI. Auch die Frage, ob KI in diesem Fall Angreifern stärker half als Verteidigern, lässt sich aus den Berichten nicht messen.
In derselben Woche wurden außerdem andere Sicherheitsereignisse gemeldet, darunter eine Node.js-Demonstration namens „Node2Shell“ sowie Berichte zu LiteLLM und eMudhra. Das waren separate Vorfälle; aus dem zeitlichen Zusammentreffen folgt kein Zusammenhang mit PHP2Shell.
Die belastbarste praktische Konsequenz war deshalb schlicht: PHP-Installationen erfassen, passende Updates einspielen und nicht aus einer hohen Zahl potenziell exponierter Systeme auf eine ebenso hohe Zahl bestätigter Einbrüche schließen. 17
18
23
Studio Global AI
Setzen Sie Ihre Recherche fort
Diese Seite enthält eine quellengestützte Antwort, die Sie in Studio Global fortsetzen können.
Die Leute fragen auch
Wie lautet die kurze Antwort auf „PHP2Shell: Die Sicherheitskrise im Oktober 2026“?
Die beiden PHP2Shell Lücken CVE 2026 109618 und CVE 2026 109619 können unauthentisierte Remote Code Ausführung ermöglichen und erhielten jeweils 9,2 Punkte nach CVSS v4.0.
Was sind die wichtigsten Punkte, die zuerst validiert werden müssen?
Die beiden PHP2Shell Lücken CVE 2026 109618 und CVE 2026 109619 können unauthentisierte Remote Code Ausführung ermöglichen und erhielten jeweils 9,2 Punkte nach CVSS v4.0. Nach einer vorzeitigen Veröffentlichung von Details am 20. Oktober erschienen die Notfall Updates am 21.
Was soll ich als nächstes in der Praxis tun?
Schätzungen nannten mehr als 22,6 Millionen potenziell verwundbare, exponierte Instanzen.