LONDON (IT BOLTWISE) – Die US-Behörde CISA hat zwei kürzlich gepatchte PHP2Shell-Lücken in den KEV-Katalog aufgenommen. Die Fehler (CVSS 9,2) ermöglichen laut CISA nicht authentifizierte Remote Code Execution auf betroffenen Deployments. Für Admins bleibt bis zum 29. Oktober 2026 Zeit, Updates auf die genannten PHP-Versionen einzuspielen. Zusätzlich wird Windows-Software wegen einer Brotli-Decoder-Schwachstelle nachgebessert.
Die CISA stuft zwei neue PHP2Shell-Schwachstellen als aktuell aktiv ausgenutzt ein und hat sie in ihr Known Exploited Vulnerabilities (KEV)-Verzeichnis aufgenommen. Ausschlaggebend sind Fälle, in denen auf kompromittierten Systemen nicht authentifizierter Code ausgeführt wird – und zwar ohne dass ein Angreifer vorher gültige Zugangsdaten braucht. Konkret geht es um CVE-2026-109618 und CVE-2026-109619, beide mit einem CVSS-Score von 9,2. Für Betreiber bedeutet das: Patching allein reicht in vielen Umgebungen nicht mehr aus, um reine Crash-Symptome von einer erfolgreichen Ausführung zu unterscheiden.
Technisch werden die beiden Lücken im Kern als Speicherfehler beschrieben, die eine Remote Code Execution ermöglichen. CVE-2026-109618 wird dabei als out-of-memory corruption eingeordnet, also als Korruption im Zusammenhang mit Speicherknappheit. CVE-2026-109619 zielt auf einen „stale internal request-state“-Zustand ab, der wiederverwendet wird, obwohl er nicht mehr gültig sein soll. Genau diese Kombination ist für Angreifer attraktiv: Sie können einen Pfad ansteuern, der sich in der Ausführung nicht auf eine bloße Ausnahmebehandlung beschränkt, sondern verwertbare Artefakte liefert, um die nächste Stufe des Exploits zu speisen.
Interessant ist in der Meldung zudem, dass ein konkreter Funktionszusammenhang bei der Ausnutzung beschrieben wird: Adel Karimi, Detection- und Response-Lead bei Perplexity, soll am 24. Oktober 2026 in Honeypot-Systemen eine erfolgreiche Remote-Code-Ausführung beobachtet haben. In der Darstellung wird dabei betont, dass nicht nur ein Absturz erfolgt, sondern eine brauchbare Speicher-Offenlegung („memory disclosure“) stattfindet. Laut den beschriebenen Ergebnissen gelang dabei ein 800 KiB großer, decodierter Cookie-Dump, der wiederum Informationen für eine spätere Phase des Payload-Aufbaus liefert; daraus abgeleitete Adressen sollen im nachfolgenden Ausführungskontext sichtbar geworden sein. Gleichzeitig wird klar eingeschränkt, dass die Beobachtungen sich auf einen bewusst günstigen Single-Worker-mod_php-Profilaufbau beziehen und nicht automatisch auf andere Worker-Zahlen, PHP-Builds oder Anwendungen übertragbar sind.
Für die unmittelbare Risikoreduktion nennt die CISA klare Update-Fenster: Die betroffenen PHP-Versionen seien in 8.5.12, 8.4.27, 8.3.36 und 8.2.35 behoben worden, die am 21. Oktober 2026 veröffentlicht wurden. Bundesbehörden haben demnach bis zum 29. Oktober 2026 Zeit, die notwendigen Fixes einzuspielen – ein Zeitplan, der in vielen Organisationen bereits jetzt zu einem harten Cutover drängt, vor allem wenn produktive PHP-Stacks eng mit Betriebssystem- und Framework-Releasezyklen verzahnt sind. Dass das Thema breite Betreiberkreise trifft, liegt auch an der Verbreitung von PHP: In der Quelle wird auf Schätzungen mit rund 70% aller Websites und auf Censys-Zahlen von mehr als 32,51 Millionen laufenden PHP-Services mit potenziell betroffenen Versionen verwiesen.
Die Sicherheitslage verschärft sich zusätzlich durch eine zweite Baustelle auf Windows: Bis zum 26. Oktober 2026 stellte die PHP Foundation Windows-Builds der genannten Versionen bereit, um CVE-2026-111497 zu adressieren. Dabei handelt es sich um eine out-of-bounds write Schwachstelle im Brotli-Decoder, die neben möglichen Privilege-Escalations auch unauthentifizierte Remote Code Execution begünstigen kann. Der Fehler ist außerdem unter mehreren Namen bekannt – unter anderem Broccoli2Shell, HTTP2Shell und Node2Shell – und betrifft Brotli-Versionen von 1.0.3 bis 1.0.9 sowie 1.1.0 und 1.2.0. Geheilt wird er in Brotli-Versionen 1.0.10, 1.1.1 und 1.2.1; betroffen sind zudem Projekte, die den C-Bibliothekscode integrieren, etwa Node.js, Bun, Envoy Proxy, Istio, .NET und Python.
Für die praktische Abwehr ist besonders die Angriffsoberfläche in Windows relevant: Laut PHP Foundation lässt sich der verwundbare Decoder in PHP-Windows-Builds über die cURL-Erweiterung erreichen, wenn automatische HTTP-Response-Komprimierung (Decompression) aktiviert ist. Das sei zwar in cURL per Default deaktiviert, aber Anwendungen oder HTTP-Client-Bibliotheken können es einschalten. Hier liegt der typische Engpass im Betrieb: Viele Teams patchen schnell den Interpreter, übersehen aber Konfigurationen in abhängigen Komponenten oder Einstellungen in Bibliotheken, die per „Optional“-Parameter Funktionen aktivieren. Neben dem Upgrade rückt daher auch die Frage nach zusätzlicher Detektion in den Fokus, etwa ob Logikpfade auffällig oft mit Speicherbedingungen kollidieren oder ob ungewöhnliche Ausführung nach HTTP-Requests sichtbar wird. Insgesamt zeigt der Fall damit weniger eine isolierte PHP-Einzellücke als vielmehr, wie eng heutige Web-Stacks aus Interpreter, Server-Modul (mod_php) und eingebetteten Decoder- oder Kompressionseinheiten miteinander gekoppelt sind.
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "CISA warnt vor aktiv ausgenutzten PHP2Shell-RCE-Lücken in mod_php" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "CISA warnt vor aktiv ausgenutzten PHP2Shell-RCE-Lücken in mod_php" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »CISA warnt vor aktiv ausgenutzten PHP2Shell-RCE-Lücken in mod_php« bei Google Deutschland suchen, bei Bing oder Google News!