AntwortenVeröffentlicht22 Quellen
PHP2Shell: Was hinter den kritischen PHP-Lücken steckt – und wer jetzt handeln muss
PHP2Shell umfasst zwei Schwachstellen, die mit 9,2 bewertet wurden und Angreifern potenziell Codeausführung auf betroffenen Servern ermöglichen – ohne Anmeldung. Die Kennungen der Lücken tauchten vor der geplanten Veröffentlichung auf.
Veröffentlicht vonBearbeitet mit GPT-6 LunaBilder erstellt mit GPT Image 2
Forschungsantwort
Wichtige Erkenntnisse
- PHP2Shell umfasst zwei Schwachstellen, die mit 9,2 bewertet wurden und Angreifern potenziell Codeausführung auf betroffenen Servern ermöglichen – ohne Anmeldung.
- Die Kennungen der Lücken tauchten vor der geplanten Veröffentlichung auf. PHP reagierte mit vorgezogenen Sicherheitsupdates am 21.
- Sicherheitsanbieter meldeten Angriffsversuche. Das ist jedoch kein Beleg dafür, dass jeder Versuch erfolgreich war oder Systeme kompromittiert wurden.
KI-Prompt
openai.comCreate a landscape editorial hero image for this Studio Global article: What does the October 22, 2026 report reveal about the PHP2Shell vulnerabilities CVE-2026-109618 and CVE-2026-109619, including their 9.2 se. Article summary: The October 22 coverage describes PHP2Shell as an urgent patching crisis: CVE-2026-109618 and CVE-2026-109619 were rated 9.2 and could allow remote attackers to execute code without authentication, prompting emergency up. Topic tags: general, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fa
PHP2Shell ist die Bezeichnung für zwei kritische Schwachstellen in PHP: CVE-2026-109618 und CVE-2026-109619. Beide erhielten auf der Skala CVSS v4.0 einen Wert von 9,2 und könnten es Angreifern ermöglichen, ohne Anmeldung aus der Ferne Code auf einem betroffenen Server auszuführen. PHP veröffentlichte am 21. Oktober 2026 Sicherheitsupdates – nachdem Details vor der geplanten Bekanntgabe bekannt geworden waren. Kurz darauf meldeten Sicherheitsanbieter Angriffsversuche. Ein Versuch ist allerdings noch kein Nachweis für einen erfolgreichen Angriff. 1
3
14
Was steckt hinter den beiden PHP2Shell-Lücken?
Die Fehler betreffen die Verarbeitung von Anfragen und die Speicherverwaltung in PHP selbst – nicht ein bestimmtes Web-Framework. CVE-2026-109618 betrifft den Umgang mit einem Speicherüberlauf (Out-of-Memory); bei CVE-2026-109619 geht es um veralteten internen Zustand. Das gemeldete Risiko: Angreifer könnten ohne Authentifizierung aus der Ferne Code ausführen. 1
14
Deshalb kommt es auf die Version der PHP-Laufzeitumgebung an, auch wenn im Anwendungscode einer Website keine Schwachstelle bekannt ist. Laut der operativen Sicherheitsinformation sind PHP-Installationen betroffen, die Webanfragen verarbeiten. 55
Diese PHP-Versionen enthalten die Korrektur
PHP veröffentlichte die behobenen Versionen am 21. Oktober 2026. Die aufgeführten Versionen sind: 14
55
- PHP 8.5.12
- PHP 8.4.27
- PHP 8.3.36
- PHP 8.2.35
Wer eine ältere Version aus einem dieser Versionszweige einsetzt, sollte auf die entsprechende korrigierte Ausgabe aktualisieren. Berichten zufolge waren Einzelheiten vor dem ursprünglich geplanten Offenlegungstermin öffentlich geworden. Daraufhin zog PHP die Veröffentlichung der Updates vor. 3
13
33
Wie die Kennungen vorab bekannt wurden
Am 20. Oktober verwies ein Beitrag auf Hacker News auf die beiden CVE-Kennungen und kündigte eine Veröffentlichung der Details für den 22. Oktober an. Der Beitrag wurde gelöscht, Screenshots davon verbreiteten sich jedoch weiter. Sicherheitsforscher bestätigten später, dass die Informationen echt waren und die Schwachstellen noch unter Embargo standen. 3
Berichten zufolge entdeckte Calif eine der Schwachstellen mit Unterstützung eines OpenAI-Modells. Auch Wiz entdeckte und meldete die Schwachstellen unabhängig, wie Berichte über die koordinierte Reaktion schildern. Aus den verfügbaren Informationen lässt sich weder ableiten, dass die Fehler seit rund 20 Jahren bestanden, noch sicher zuordnen, welches Team welche CVE entdeckt hat. 27
33
Vorsorgliche Abschaltungen und offizielle Hinweise
Einige Organisationen nahmen Dienste vorsorglich vom Netz, während sie das Risiko prüften. Berichte nannten unter anderem Angebote im Umfeld des japanischen Finanzministeriums, der US-Personalplattform BambooHR, des Rotterdamer Hafens und der Wikimedia Foundation. Solche Ausfälle sind für sich genommen kein Beleg für einen erfolgreichen Angriff. 19
Die US-Cybersicherheitsbehörde CISA rief Organisationen mit PHP-basierten Websites dazu auf, die Updates umgehend einzuspielen. 33 Die vorliegenden Berichte enthalten keine vollständige Zahl der vorsorglichen Abschaltungen und bestätigen auch nicht jede Behauptung zu betroffenen Krankenhäusern, Schulen oder Behörden.
Was die Berichte über Angriffsversuche aussagen
Die Meldungen beziehen sich auf Aktivitäten vor und nach der öffentlichen Bekanntgabe:
- Amazon erklärte, sein MadPot-Honeypot habe am 17. Oktober einen Ausnutzungsversuch erkannt – vier Tage vor Veröffentlichung der Patches. Das belegt einen Versuch gegen diesen Sensor, aber keine erfolgreiche Kompromittierung anderer Systeme.
50
58
- Cloudflare meldete Tausende Versuche in den zehn Stunden vor der öffentlichen Bekanntgabe und Millionen danach. Die Zahlen beziehen sich auf beobachtete Versuche im Cloudflare-Netzwerk, nicht auf bestätigte Übernahmen von Servern.
36
- CISA teilte mit, zum Zeitpunkt ihrer Warnung keine Ausnutzung beobachtet zu haben. Das beschreibt den damaligen Kenntnisstand der Behörde und widerlegt nicht die Versuche, die Sicherheitsanbieter mit anderen Datenquellen meldeten.
- Sophos korrigierte eine frühere Meldung über erfolgreiche Angriffe in Kundenumgebungen. Nach der Korrektur zeigten die Telemetriedaten Scans und eine kleine Zahl fehlgeschlagener Versuche; bis zu diesem Update gab es in den eigenen Umgebungen keinen Beleg für eine erfolgreiche Kompromittierung.
7
Zusammengenommen sprechen die Meldungen dafür, PHP2Shell als dringenden Patch-Fall zu behandeln: Es wurden Versuche beobachtet, und das mögliche Schadenspotenzial ist erheblich. Sie belegen aber weder, dass alle Versuche erfolgreich waren, noch liefern sie eine verlässliche Gesamtzahl kompromittierter Systeme.
Was sich aus den verfügbaren Informationen nicht ableiten lässt
Die vorliegenden Berichte nennen keine verlässliche Zahl verwundbarer, aus dem Internet erreichbarer Server. Sie belegen auch nicht, dass die Fehler tatsächlich rund 20 Jahre bestanden oder dass Angreifer KI eingesetzt haben, um Exploits für PHP2Shell zu entwickeln. Berichtet wurde über KI-Unterstützung bei der Entdeckung – das ist etwas anderes als ein Nachweis dafür, wie Angreifer die Schwachstellen fanden oder ausnutzten. 27
33
Studio Global AI
Setzen Sie Ihre Recherche fort
Diese Seite enthält eine quellengestützte Antwort, die Sie in Studio Global fortsetzen können.
Die Leute fragen auch
Wie lautet die kurze Antwort auf „PHP2Shell: Was hinter den kritischen PHP-Lücken steckt – und wer jetzt handeln muss“?
PHP2Shell umfasst zwei Schwachstellen, die mit 9,2 bewertet wurden und Angreifern potenziell Codeausführung auf betroffenen Servern ermöglichen – ohne Anmeldung.
Was sind die wichtigsten Punkte, die zuerst validiert werden müssen?
PHP2Shell umfasst zwei Schwachstellen, die mit 9,2 bewertet wurden und Angreifern potenziell Codeausführung auf betroffenen Servern ermöglichen – ohne Anmeldung. Die Kennungen der Lücken tauchten vor der geplanten Veröffentlichung auf. PHP reagierte mit vorgezogenen Sicherheitsupdates am 21.
Was soll ich als nächstes in der Praxis tun?
Sicherheitsanbieter meldeten Angriffsversuche. Das ist jedoch kein Beleg dafür, dass jeder Versuch erfolgreich war oder Systeme kompromittiert wurden.