Schwachstelle · Weltweit · Oktober 2026

PHP2Shell: kritische Remote-Code-Ausführung in PHP (CVE-2026-109618, CVE-2026-109619)

Zwei kritische Schwachstellen zur unauthentifizierten Remote-Code-Ausführung in PHP führten zu Notfall-Updates und gemeinsamen Warnungen von ENISA, CERT-EU, FBI und NSA.

Sicherheitsvorfall

Was geschehen ist

Am 21. Oktober 2026 veröffentlichte das PHP-Projekt Sicherheits-Notfallupdates (PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35), die zwei kritische Schwachstellen mit CVSS 9,2 beheben, gemeinsam als PHP2Shell bezeichnet.

CVE-2026-109618 ermöglicht Remote-Code-Ausführung durch Speicherbeschädigung bei der Out-of-Memory-Behandlung; CVE-2026-109619 ist ein Use-after-free durch veralteten Zustand. Beide können durch unauthentifizierte Anfragen ausgelöst werden, bevor Anwendungscode ausgeführt wird, mit dem höchsten Risiko bei Apache mit mod_php.

ENISA, die Europäische Kommission, CERT-EU, Europol EC3 und das EU-CSIRTs-Netzwerk gaben eine gemeinsame Erklärung ab, in der sie zu sofortigem Patchen aufforderten, während FBI und NSA parallele Warnungen veröffentlichten. Sicherheitsforscher beobachteten innerhalb weniger Stunden nach der Veröffentlichung Aufklärung und Scans von PHP-Anwendungen.

Analyse

Gewonnene Erkenntnisse

Internetexponierte PHP-Systeme müssen sofort gepatcht werden; wo ein Patch nicht möglich ist, sollten exponierte Anwendungen von öffentlichen Netzwerken isoliert werden, bis die Fixes angewendet und verifiziert sind.

PHP 8.1 und älter erhalten keine Updates mehr vom PHP-Projekt; nicht unterstützte Versionen müssen daher aktualisiert oder durch Vendor-Backports abgedeckt werden.

Viele kommerzielle und Open-Source-Produkte nutzen PHP im Hintergrund; ein genaues Software-Inventar ist erforderlich, um betroffene Systeme zu finden, die PHP nicht direkt zu verwenden scheinen.

Prävention

Wie Penetrationstests helfen

Penetrationstests von Webanwendungen und Netzwerken identifizieren exponierte PHP-Dienste, veraltete Laufzeitversionen und anfällige Komponenten und prüfen, ob Patch- und Isolierungsmaßnahmen tatsächlich wirksam sind.

Zugehörige Dienstleistung ansehen Bewertung anfordern

Quellen

Zusammenfassung auf Grundlage öffentlich verfügbarer Informationen. DIGITPOL war an diesem Vorfall nicht beteiligt.