AntwortenVeröffentlicht33 Quellen
PHP2Shell: Warum ein PHP-Update jetzt Priorität hat
PHP2Shell bezeichnet zwei kritische Speicherfehler in PHP, die unter geeigneten Bedingungen eine Codeausführung aus der Ferne ohne Anmeldung ermöglichen können. Betreiber sollten die PHP Version aktualisieren, die tatsächlich Webanfragen bedient, beziehungsweise ein geprüftes Hersteller Update installieren und den E...
Veröffentlicht vonBearbeitet mit GPT-6 LunaBilder erstellt mit GPT Image 2
Forschungsantwort
Wichtige Erkenntnisse
- PHP2Shell bezeichnet zwei kritische Speicherfehler in PHP, die unter geeigneten Bedingungen eine Codeausführung aus der Ferne ohne Anmeldung ermöglichen können.
- Betreiber sollten die PHP Version aktualisieren, die tatsächlich Webanfragen bedient, beziehungsweise ein geprüftes Hersteller Update installieren und den Erfolg kontrollieren.
KI-Prompt
openai.comCreate a landscape editorial hero image for this Studio Global article: What are the PHP2Shell vulnerabilities CVE-2026-109618 and CVE-2026-109619, how do they enable unauthenticated remote code execution in PHP—. Article summary: PHP2Shell is the name given to two critical PHP memory-safety vulnerabilities, CVE-2026-109618 and CVE-2026-109619, that can permit unauthenticated remote code execution under suitable conditions; researchers rated them . Topic tags: general, general web, government, news. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with
PHP2Shell ist der Sammelname für zwei kritische Schwachstellen im PHP-Laufzeitsystem: CVE-2026-109618 und CVE-2026-109619. Unter bestimmten Bedingungen können Angreifer damit Code auf einem Server ausführen, ohne sich zuvor anzumelden. PHP hat am 21. Oktober 2026 Sicherheitsupdates für die Versionen 8.2.35, 8.3.36, 8.4.27 und 8.5.12 veröffentlicht.5
36 Für Betreiber heißt das: die PHP-Umgebung aktualisieren, die tatsächlich Webanfragen verarbeitet – oder bei gebündelter Software das passende Hersteller-Update einspielen – und anschließend prüfen, ob der Dienst die korrigierte Version nutzt.
Was steckt hinter den beiden Schwachstellen?
Beide Fehler betreffen die Speicherverwaltung von PHP selbst und nicht nur den Programmcode einer einzelnen Website. Beschrieben werden Abläufe, bei denen PHP auf veraltete oder bereits freigegebene Speicherbereiche zugreifen kann.6
9
- CVE-2026-109618 hängt mit der Verarbeitung des Upload-Fortschritts zusammen. Laut Wiz kann der Fehler Speicherinhalte eines PHP-Prozesses offenlegen und unter den gezeigten Bedingungen zu Speicherbeschädigung und Codeausführung beitragen.
6
- CVE-2026-109619 betrifft die Speicherverwaltung bei Backtraces nach fatalen Fehlern und im Zusammenspiel mit OPcache. Laut PHP kann ein veralteter interner Zustand zurückbleiben, den eine spätere Anfrage desselben Workers verwendet.
36
In den zitierten Berichten werden beide Lücken auf der CVSS-Skala mit 9,2 bewertet.2
37 Wiz schätzt, dass PHP von rund 70 Prozent des Internets genutzt wird. Das ist eine Angabe zur Verbreitung der Technologie – kein Beleg dafür, dass 70 Prozent aller Websites auf dieselbe Weise verwundbar oder bereits kompromittiert sind.
6
Welche Versionen sind betroffen, und welche Updates gibt es?
Berichte nennen PHP 5.4 bis einschließlich 8.5.11 als verwundbaren Versionsbereich.56 Die von PHP veröffentlichten korrigierten Versionen sind 8.2.35, 8.3.36, 8.4.27 und 8.5.12.
36 Läuft ein System mit einer älteren oder nicht mehr unterstützten Version, sollten Betreiber beim PHP-Anbieter oder beim Hersteller des Produkts nach einem unterstützten Update oder einem zurückportierten Fix fragen. Nicht für jedes System ist ein gewöhnliches PHP-Upgrade verfügbar.
17
54
Ein Update des PHP-Pakets allein genügt möglicherweise nicht: Websites, Appliances und andere Produkte können eine eigene, mitgelieferte PHP-Version verwenden. Prüfen Sie deshalb, welche Installation tatsächlich Webanfragen bedient, und beachten Sie die Hinweise des Herstellers für Software mit eingebettetem PHP.5
54
KI half bei der Suche – zum genauen Ablauf gibt es unterschiedliche Angaben
Die Forschung wird Calif, OpenAI und Wiz zugeschrieben; Berichte beschreiben den Einsatz von KI-Modellen bei der Suche nach den Fehlern.4
16 Beim zeitlichen Ablauf unterscheiden sich die Darstellungen: USA Today berichtet von einer ersten Entdeckung durch Calif im Juli und einer unabhängigen Entdeckung durch Wiz im August. The Register ordnet die Arbeit der Forschenden dagegen dem Zeitraum von August bis September zu.
4
47 Weitere Berichte erwähnen auch Google-Modelle. Aus dem verfügbaren Material geht jedoch nicht genau hervor, welchen Beitrag die einzelnen Modelle leisteten oder wie viel der Arbeit autonom ablief.
50
Wichtig ist die Unterscheidung: Belegt ist eine KI-unterstützte Recherche – nicht, dass ein KI-System die Schwachstellen vollständig eigenständig entdeckte, überprüfte und behob. An der beschriebenen Entdeckung und Reaktion waren auch menschliche Forschende und Maintainer beteiligt.4
16
Was bedeutet der Zusammenhang mit PAN-OS?
Palo Alto Networks hat eine Sicherheitshinweis veröffentlicht, der die Auswirkungen beider PHP-Schwachstellen auf eigene Produkte behandelt. Zu den aufgeführten Produktfamilien gehört auch PAN-OS.34
35 Daraus folgt jedoch nicht automatisch, dass jede PAN-OS-Installation denselben Angriffsweg bietet wie ein PHP-Webserver. Entscheidend sind die konkrete Produktkonfiguration und die vom Hersteller bereitgestellten Korrekturen.
Administratoren sollten den aktuellen Hinweis von Palo Alto Networks für ihr konkretes Produkt und ihre Softwareversion prüfen und den dort genannten Update-Anweisungen folgen. Drittanbieter-Listen zu geplanten Hotfixes sind kein verlässlicher Nachweis dafür, dass ein Update tatsächlich verfügbar ist: Ein verbreiteter Tracker kennzeichnet seine Herstellerangaben ausdrücklich als KI-generiert und fordert dazu auf, sie zu überprüfen.21
Angriffsversuche sind nicht dasselbe wie bestätigte Einbrüche
Ein Threat-Intelligence-Bericht beschreibt einen am 17. Oktober registrierten Angriffsversuch – noch vor der öffentlichen technischen Veröffentlichung und den PHP-Fixes am 21. Oktober.53 Laut Nextgov stieg das von Cloudflare gemeldete Aufkommen später von Tausenden auf Millionen Versuche.
22 Diese Zahlen beziehen sich auf versuchte Angriffe, nicht auf erfolgreich übernommene Server.
Auch die Berichte über erfolgreiche Ausnutzung sind nicht einheitlich. Die BBC schrieb am 22. Oktober, bis dahin seien keine erfolgreichen Angriffe gemeldet worden.18 Palo Alto Networks’ Unit 42 erklärte später, es könne Aktivitäten, die zunächst mit PHP2Shell in Verbindung gebracht worden waren, nicht diesen konkreten CVEs zuordnen, und nahm ein früheres Update zurück.
30 Nach den hier verfügbaren Informationen gibt es Berichte über Angriffsversuche; ob erfolgreiche Einbrüche nachweislich auf PHP2Shell zurückzuführen sind, bleibt unklar.
Berichten zufolge nahmen Regierungen und Unternehmen vorsorglich einige Online-Dienste vom Netz, während sie Updates vorbereiteten oder einspielten.26
51 Eine solche Abschaltung ist für sich genommen kein Hinweis darauf, dass ein Angriff erfolgreich war.
Was Betreiber und Website-Inhaber jetzt tun sollten
- Alle PHP-Installationen erfassen. Prüfen Sie Websites, Anwendungsserver, Container, Hosting-Umgebungen und Appliances. Bitten Sie Hosting- oder Managed-Service-Anbieter um eine Bestätigung der eingesetzten Laufzeit und des passenden Fixes.
- Ein geprüftes Update einspielen. Verwenden Sie eine korrigierte PHP-Version oder ein Herstellerpaket mit den entsprechenden Fixes. Bei Appliances und Software mit gebündeltem PHP gelten die Update-Anweisungen des jeweiligen Herstellers.
17
54
- Den laufenden Dienst kontrollieren. Stellen Sie sicher, dass die PHP-Umgebung für Webanfragen aktualisiert wurde – nicht nur eine separate Kommandozeileninstallation. Prüfen Sie außerdem, ob nötige Worker oder Dienste tatsächlich mit der korrigierten Version laufen.
- Angriffsfläche vorübergehend verringern. Wenn ein sofortiges Update nicht möglich ist, sollten Sie die Empfehlungen des Herstellers und der Behörden beachten. Die NSA rät dazu, Hersteller-Patches zu priorisieren und ein System offline zu nehmen, falls es nicht zeitnah aktualisiert werden kann.
25
- Patchen und Untersuchung getrennt behandeln. Ein Update schließt die bekannte Schwachstelle, sagt aber nicht aus, ob zuvor bereits ein Eindringen stattgefunden hat. Wenn es einen konkreten Verdacht gibt, sollten relevante Protokolle und Systemaktivitäten gesondert geprüft werden.
Wenn Sie eine Website besitzen, deren Server Sie nicht selbst verwalten, fragen Sie beim Hoster oder Administrator nach, ob die PHP-Laufzeit aktualisiert wurde. Installieren Sie keine Fixes aus unaufgeforderten Nachrichten, sondern nutzen Sie ausschließlich die offiziellen Anweisungen Ihres Anbieters.
Die zentrale Unterscheidung ist einfach: Ein System kann verwundbar sein, ein Angreifer kann einen Angriff versuchen, und ein System kann kompromittiert werden. Das sind drei verschiedene Aussagen. Aktualisieren Sie die betroffene Laufzeit, prüfen Sie Produkte wie PAN-OS anhand der Herstellerhinweise und untersuchen Sie einen möglichen früheren Angriff unabhängig davon.
Studio Global AI
Setzen Sie Ihre Recherche fort
Diese Seite enthält eine quellengestützte Antwort, die Sie in Studio Global fortsetzen können.
Die Leute fragen auch
Wie lautet die kurze Antwort auf „PHP2Shell: Warum ein PHP-Update jetzt Priorität hat“?
PHP2Shell bezeichnet zwei kritische Speicherfehler in PHP, die unter geeigneten Bedingungen eine Codeausführung aus der Ferne ohne Anmeldung ermöglichen können.
Was sind die wichtigsten Punkte, die zuerst validiert werden müssen?
PHP2Shell bezeichnet zwei kritische Speicherfehler in PHP, die unter geeigneten Bedingungen eine Codeausführung aus der Ferne ohne Anmeldung ermöglichen können. Betreiber sollten die PHP Version aktualisieren, die tatsächlich Webanfragen bedient, beziehungsweise ein geprüftes Hersteller Update installieren und den Erfolg kontrollieren.