AntwortenVeröffentlicht23 Quellen
PHP2Shell: Was hinter den zwei kritischen PHP-Sicherheitslücken steckt
PHP2Shell bezeichnet zwei kritische Schwachstellen in PHP, beide mit CVSS v4.0 9,2 bewertet. Die Fehler betreffen die Behandlung von Speicherknappheit und veralteten internen Zuständen.
Veröffentlicht vonBearbeitet mit GPT-6 LunaBilder erstellt mit GPT Image 2
Forschungsantwort
Wichtige Erkenntnisse
- PHP2Shell bezeichnet zwei kritische Schwachstellen in PHP, beide mit CVSS v4.0 9,2 bewertet.
- Die Fehler betreffen die Behandlung von Speicherknappheit und veralteten internen Zuständen.
KI-Prompt
openai.comCreate a landscape editorial hero image for this Studio Global article: What are the PHP2Shell vulnerabilities CVE-2026-109618 and CVE-2026-109619, why are both rated 9.2 out of 10, how do they enable unauthentic. Article summary: PHP2Shell is the collective name for two critical PHP flaws, CVE-2026-109618 and CVE-2026-109619, reported to permit unauthenticated remote code execution; emergency fixes were released on October 21, 2026. [3][5] The av. Topic tags: general, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fa
PHP2Shell ist der Sammelname für zwei kritische Schwachstellen in der PHP-Laufzeitumgebung: CVE-2026-109618 und CVE-2026-109619. Beide sind nach CVSS v4.0 mit 9,2 und damit als kritisch eingestuft. Sie können es Angreifern ermöglichen, ohne Anmeldung Code auf einem verwundbaren Server auszuführen. Das PHP-Projekt veröffentlichte am 21. Oktober 2026 Notfall-Updates. 
Für Betreiberinnen und Betreiber hat das Aktualisieren höchste Priorität. Berichte über Angriffsversuche – darunter eine Beobachtung in einem Amazon-Honeypot noch vor der öffentlichen Bekanntgabe – sprechen für schnelles Handeln. Sie belegen aber nicht, dass ein produktives System tatsächlich kompromittiert wurde. 36
Was die beiden PHP2Shell-Lücken bewirken
Die Schwachstellen beruhen laut den Berichten auf unterschiedlichen Fehlern:
- CVE-2026-109618 betrifft die Behandlung von Speicherknappheit. Wenn PHP nicht mehr genügend Speicher zur Verfügung steht, kann die Verarbeitung unterbrochen werden, während interne Anfragedaten noch nicht vollständig initialisiert sind. Bei der anschließenden Bereinigung kann PHP ungültige Daten fälschlich als gültig behandeln.
58
- CVE-2026-109619 betrifft veraltete interne Zustände. Den Berichten zufolge kann ein an eine Anfrage gebundener interner Zustand bestehen bleiben, obwohl der Speicher, auf den er verweist, bereits freigegeben wurde. Das ist ein sogenannter Use-after-free-Fehler.
9
Die Schwachstellen betreffen PHPs Verarbeitung speziell präparierter HTTP-Anfragen, darunter Multipart-Formulardaten – ein Format, das häufig bei Datei-Uploads zum Einsatz kommt. 1
Warum die Bewertung 9,2 lautet – und was sie aussagt
Beide Lücken sind nach CVSS v4.0 mit 9,2 von 10 Punkten als kritisch bewertet. Ein wesentlicher Risikofaktor ist die mögliche entfernte Codeausführung ohne Anmeldung: Ein Angreifer muss sich nicht erst einloggen, um einen Angriff auf einen betroffenen Server zu versuchen.
Das verfügbare Quellenmaterial enthält nicht die vollständigen CVSS-Vektoren. Deshalb lässt sich daraus nicht genau aufschlüsseln, wie die einzelnen Bewertungsfaktoren zum Wert 9,2 führen. Der Wert beschreibt den Schweregrad der Schwachstellen, sagt aber nicht aus, wie wahrscheinlich ein Angriff auf einen bestimmten Server ist oder ob ein beobachteter Versuch erfolgreich war.
Betroffene PHP-Versionen und verfügbare Updates
Berichten zufolge reicht der betroffene Versionsbereich bis PHP 5.4 zurück. 55 Für die PHP-8.x-Zweige wurden folgende Notfall-Updates genannt:
| PHP-Zweig | Fehlerbereinigte Version |
|---|---|
| 8.2 | 8.2.35 |
| 8.3 | 8.3.36 |
| 8.4 | 8.4.27 |
| 8.5 | 8.5.12 |
Diese Versionen erschienen am 21. Oktober 2026. Aktualisieren Sie auf die fehlerbereinigte Version Ihres Zweigs oder eine neuere Version desselben Zweigs.
Die aufgeführten Updates betreffen die Zweige 8.2 bis 8.5. Läuft ein System mit einem älteren oder nicht mehr unterstützten Zweig, sollten Sie beim PHP-Distributor oder Betriebssystemanbieter nach passenden Fehlerkorrekturen und Upgrade-Hinweisen suchen. Gehen Sie nicht davon aus, dass eine der aufgeführten Versionen direkt für diesen Zweig gilt.
Vorzeitige Bekanntgabe und gemeldete Angriffsversuche
Die Schwachstellen wurden am 20. Oktober öffentlich bekannt – einen Tag vor dem ursprünglich geplanten Termin für die Bekanntgabe am 22. Oktober. PHP veröffentlichte die Notfall-Updates am 21. Oktober. 8
42 Die verfügbaren Quellen belegen die vorzeitige Bekanntgabe und den früheren Patch-Termin, aber nicht, dass ein versehentlich veröffentlichtes Demonstrationsvideo von Calif dafür ausschlaggebend war.
Amazon Threat Intelligence meldete einen PHP2Shell-Ausnutzungsversuch in den MadPot-Honeypot-Daten vom 17. Oktober – vier Tage vor der öffentlichen Bekanntgabe. Amazon berichtete außerdem, rund um die Veröffentlichung am 21. Oktober Proof-of-Concept-Exploits entdeckt zu haben. Honeypot-Daten zeigen Aktivitäten gegen ein Ködersystem, nicht eine bestätigte Kompromittierung einer realen Organisation.
Cloudflare erklärte, rund um die Bekanntgabe Schutzmaßnahmen eingeführt zu haben. Zeitnahe Berichte beschreiben zudem von Sicherheitsanbietern beobachtete Angriffsversuche oder entsprechenden Datenverkehr. 55
35 Die Einschätzungen zum Umfang und Erfolg der Ausnutzung gingen auseinander: Einige Anbieter meldeten aktive oder weit verbreitete Angriffe, während andere zeitgenössische Berichte darauf hinwiesen, dass Behörden keine erfolgreichen Angriffe bestätigt hatten.
33
36
Die Belege sprechen dafür, gemeldete Versuche ernst zu nehmen. Sie rechtfertigen jedoch weder, jeden Versuch als erfolgreichen Einbruch zu werten, noch die Schlussfolgerung, Angriffe seien weit verbreitet gewesen. Bei der Bewertung von Risiken und Vorfällen sollten diese Kategorien getrennt bleiben.
Was während des Patchens zu tun ist
Die wichtigste Maßnahme ist die Installation der fehlerbereinigten PHP-Version. AWS zufolge ist ein Upgrade die einzige vollständige Behebung. Wenn ein sofortiges Patchen nicht möglich ist, kann das vorübergehende Blockieren von Multipart-Datei-Uploads die Angriffsfläche verringern. Solche Maßnahmen ersetzen das Update nicht.
Das kanadische Cyber Centre veröffentlichte eine kritische Warnung zu den Schwachstellen und dem Risiko einer Codeausführung ohne Anmeldung. 2 Den verfügbaren Quellen zufolge empfahl auch die NSA, Systeme vom Netz zu nehmen, falls sie nicht umgehend aktualisiert werden können.
27 Richten Sie sich außerdem nach den einschlägigen Hinweisen für Ihre konkrete Umgebung – insbesondere, wenn PHP Teil eines Produkts ist oder von einem Hosting-Anbieter verwaltet wird.
Die praktische Konsequenz ist klar: Ermitteln Sie, wo PHP läuft, spielen Sie das passende Update ein und prüfen Sie Sicherheitsmeldungen sorgfältig. Die Schwere von PHP2Shell verlangt schnelles Handeln. Ein Angriffsversuch, ein funktionierender Exploit und eine bestätigte Kompromittierung eines Produktivsystems sind jedoch unterschiedliche Sachverhalte.
Studio Global AI
Setzen Sie Ihre Recherche fort
Diese Seite enthält eine quellengestützte Antwort, die Sie in Studio Global fortsetzen können.
Die Leute fragen auch
Wie lautet die kurze Antwort auf „PHP2Shell: Was hinter den zwei kritischen PHP-Sicherheitslücken steckt“?
PHP2Shell bezeichnet zwei kritische Schwachstellen in PHP, beide mit CVSS v4.0 9,2 bewertet.
Was sind die wichtigsten Punkte, die zuerst validiert werden müssen?
PHP2Shell bezeichnet zwei kritische Schwachstellen in PHP, beide mit CVSS v4.0 9,2 bewertet. Die Fehler betreffen die Behandlung von Speicherknappheit und veralteten internen Zuständen.