AntwortenVeröffentlicht17 Quellen
PHP2Shell: Warum PHP-Server jetzt geprüft und gepatcht werden sollten
PHP2Shell bezeichnet die Schwachstellen CVE 2026 109618 und CVE 2026 109619. Sie können unauthentifizierte Angriffe ermöglichen, bei denen Code auf einem betroffenen Server ausgeführt wird.
Veröffentlicht vonBearbeitet mit GPT-6 LunaBilder erstellt mit GPT Image 2
Forschungsantwort
Wichtige Erkenntnisse
- PHP2Shell bezeichnet die Schwachstellen CVE 2026 109618 und CVE 2026 109619. Sie können unauthentifizierte Angriffe ermöglichen, bei denen Code auf einem betroffenen Server ausgeführt wird.
- Da PHP auch hinter Websites mit WordPress, Drupal und Joomla läuft, sollten Organisationen die PHP Laufzeit ihrer Dienste prüfen – nicht nur die Version ihres CMS.
- PHP veröffentlichte am 21. Oktober 2026 Sicherheitsupdates.
- Ein Update verringert das Risiko weiterer Angriffe, klärt aber nicht, ob ein System zuvor kompromittiert wurde.
KI-Prompt
openai.comCreate a landscape editorial hero image for this Studio Global article: What are the two critical PHP2Shell vulnerabilities (CVE-2026-109618 and CVE-2026-109619), how can attackers exploit them without login cred. Article summary: PHP2Shell is the collective name for two critical PHP runtime vulnerabilities, CVE-2026-109618 and CVE-2026-109619, that can enable remote code execution without authentication. [7][8] PHP maintainers released emergency . Topic tags: general, general web. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clic
PHP2Shell ist der Sammelname für zwei kritische Schwachstellen in der PHP-Laufzeit: CVE-2026-109618 und CVE-2026-109619. Sie können Angreifern ermöglichen, aus der Ferne Code auf einem betroffenen Server auszuführen, ohne sich vorher anmelden zu müssen. Die PHP-Entwickler veröffentlichten am 21. Oktober 2026 Sicherheitsupdates. Am folgenden Tag rief Gwenda Fong, Commissioner der singapurischen Cyber Security Agency (CSA), Organisationen dazu auf, schnell zu handeln. 5
6
Das Wichtigste auf einen Blick
- Die Schwachstellen betreffen PHP selbst: Das Risiko ist nicht auf ein einzelnes Website-System oder Content-Management-System beschränkt.
5
24
- Angriffe ohne Anmeldung können schwerwiegende Folgen haben: Je nach Zugriff und Konfiguration des betroffenen Dienstes könnten Angreifer einen Webserver übernehmen, Daten auslesen oder Dienste stören.
- Eine verwundbare Installation ist nicht automatisch gehackt: Organisationen sollten Updates einspielen und zusätzlich prüfen, ob es Anzeichen für einen früheren Zugriff gibt. Die CSA stellt dafür Hinweise zur Identifizierung verwundbarer PHP-Installationen und zur Überwachung möglicher Angriffsversuche bereit.
Was hinter den beiden PHP2Shell-Lücken steckt
Die Schwachstellen hängen damit zusammen, wie PHP Speicher und den Zustand einer Anfrage verarbeitet. Technischen Beschreibungen zufolge kann CVE-2026-109618 bei der Behandlung eines Speicherengpasses dazu führen, dass der interne Zustand einer Anfrage ungültig wird. Bei CVE-2026-109619 kann globaler Zustand, der einer Anfrage zugeordnet ist, weiterverwendet werden, obwohl der zugehörige Speicher bereits freigegeben wurde. Solche Fehler können einen Weg zur Ausführung von Code aus der Ferne eröffnen. 1
Praktisch bedeutet das: Ein verwundbarer PHP-Dienst kann eine manipulierte Anfrage verarbeiten, ohne dass der Angreifer ein gültiges Konto braucht. Gelingt der Angriff, wird der Code im Kontext des betroffenen Dienstes ausgeführt; die möglichen Folgen hängen davon ab, auf welche Ressourcen dieser Dienst Zugriff hat und wie er konfiguriert ist. Berichten zufolge könnten Angreifer dadurch Webserver übernehmen, Daten stehlen oder Dienste beeinträchtigen. 11
24
Warum die Warnung der CSA viele Organisationen betrifft
PHP bildet die technische Grundlage zahlreicher Websites und Online-Dienste. Dazu gehören auch Websites, die mit WordPress, Drupal oder Joomla erstellt wurden. Deshalb reicht es nicht unbedingt, nur das Website-System zu aktualisieren: Organisationen müssen auch prüfen, welche PHP-Laufzeit ihre Dienste tatsächlich verwenden. 9
24
Der Zeitpunkt machte schnelles Handeln möglich und nötig: PHP veröffentlichte die Patches am 21. Oktober, und Fong rief Organisationen am 22. Oktober zur Eile auf. Die CSA warnte, dass Unternehmen – insbesondere kleinere Betriebe – möglicherweise gar nicht wissen, dass ihre Systeme betroffen sind. Das bedeutet jedoch nicht, dass jede verwundbare Organisation bereits angegriffen wurde. 6
9
Die CSA erklärte außerdem, sie arbeite mit Behörden, Betreibern kritischer Informationsinfrastrukturen, großen Unternehmen und Branchenpartnern daran, das Patchen zu beschleunigen. Kleinere Organisationen sollen unter anderem über Wirtschaftsverbände, Cybersicherheitsanbieter und Technologiepartner erreicht werden. 27
Was Organisationen jetzt tun sollten
- Alle PHP-Installationen erfassen. Prüfen Sie, welche PHP-Laufzeiten Websites, Anwendungen und Online-Dienste bedienen. Beziehen Sie auch Systeme ein, die von einer Webagentur oder einem Hosting-Anbieter verwaltet werden. Die CSA hat Hinweise zur Erkennung verwundbarer PHP-Installationen veröffentlicht.
- Internetexponierte Systeme zuerst patchen. Spielen Sie das passende Sicherheitsupdate für die eingesetzte PHP-Version und Hosting-Umgebung ein. Klären Sie mit dem Anbieter, dass tatsächlich der laufende PHP-Dienst aktualisiert wurde – nicht nur die Website-Software. Die PHP-Patches erschienen am 21. Oktober.
6
- Unabhängig davon auf mögliche Angriffe prüfen. Ein Update verringert das laufende Risiko, zeigt aber nicht, ob vor dem Patch ein Angriff erfolgreich war. Prüfen Sie verfügbare Sicherheitsprotokolle und beachten Sie die CSA-Hinweise zur Überwachung möglicher Kompromittierungen.
- Bei Unklarheit Unterstützung einholen. Fragen Sie Ihr IT-Team, Ihre Webagentur oder Ihren Hosting-Anbieter, welche PHP-Version läuft, ob das Update installiert ist und ob es Anzeichen für einen Angriff gibt. Kleinere Organisationen sind dabei möglicherweise auf externe Anbieter angewiesen, um auch Systeme zu erfassen, die sie nicht selbst verwalten.
27
- Die technischen Hinweise der CSA nutzen. Der SingCERT-Hinweis „Critical Vulnerabilities in PHP (PHP2Shell)“ enthält weitere Informationen für Website-Betreiber, Dienstleister, Systemadministratoren und Sicherheitsteams.
Die erste Aufgabe ist, herauszufinden, welche PHP-Dienste erreichbar sind, und sie mit dem passenden Update abzusichern. War ein System vor dem Patch verwundbar, sollte zusätzlich geprüft werden, ob es kompromittiert wurde: Ein Update allein beantwortet diese Frage nicht. 5
Studio Global AI
Setzen Sie Ihre Recherche fort
Diese Seite enthält eine quellengestützte Antwort, die Sie in Studio Global fortsetzen können.
Die Leute fragen auch
Wie lautet die kurze Antwort auf „PHP2Shell: Warum PHP-Server jetzt geprüft und gepatcht werden sollten“?
PHP2Shell bezeichnet die Schwachstellen CVE 2026 109618 und CVE 2026 109619. Sie können unauthentifizierte Angriffe ermöglichen, bei denen Code auf einem betroffenen Server ausgeführt wird.
Was sind die wichtigsten Punkte, die zuerst validiert werden müssen?
PHP2Shell bezeichnet die Schwachstellen CVE 2026 109618 und CVE 2026 109619. Sie können unauthentifizierte Angriffe ermöglichen, bei denen Code auf einem betroffenen Server ausgeführt wird. Da PHP auch hinter Websites mit WordPress, Drupal und Joomla läuft, sollten Organisationen die PHP Laufzeit ihrer Dienste prüfen – nicht nur die Version ihres CMS.
Was soll ich als nächstes in der Praxis tun?
PHP veröffentlichte am 21. Oktober 2026 Sicherheitsupdates.
Quellen