LONDON (IT BOLTWISE) – PHP hat Notfall-Updates veröffentlicht, die zwei kritische RCE-Lücken im PHP-Runtime-Engine-Fundament schließen, bekannt als PHP2Shell. Betroffen sind mehrere Support-Stände wie PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35, wobei das Update erst nach Neustarts der Webserver- und PHP-Worker-Prozesse vollständig wirkt. Die Schwachstellen haben laut Veröffentlichung eine CVSS-V4.0-Bewertung von 9,2 und können bereits mit einer einzigen unauthentifizierten Anfrage vor Anwendungscode zuschlagen. Besonders kritisch ist der Angriffspfad über Apache mit mod_php.
PHP hat am 21. Oktober Notfall-Updates für zwei eng gekoppelte Remote-Code-Execution (RCE)-Schwachstellen bereitgestellt, die unter dem Namen „PHP2Shell“ zusammengefasst werden. Die beiden Lücken tragen die Kennungen CVE-2026-109618 und CVE-2026-109619 und werden vom PHP-Team mit 9,2 Punkten auf der CVSS v4.0 eingestuft. Entscheidend ist weniger der einzelne Bug-Titel, sondern das Angriffsziel: Die Schwachstellen stecken nicht in einer konkreten Webanwendung, sondern im PHP-Laufzeit-System selbst. Dadurch bleibt eine Site trotz „sicherem“ Anwendungs-Code potenziell angreifbar, sobald eine verwundbare PHP-Version Webrequests verarbeitet.
Technisch adressiert der Patch-Call zwei unterschiedliche, aber kooperierende Pfade im Ablauf einer PHP-Anfrage. Bei einer typischen Installation mit Apache mod_php wirkt der Angriff besonders unmittelbar: Ein funktionierender Exploit kann bereits greifen, bevor überhaupt Application-Code ausgeführt wird. In der Praxis heißt das für Betreiber, dass klassische Schutzmaßnahmen wie „die Anwendung validiert sauber“ nicht automatisch helfen. Für PHP-FPM gilt eine differenzierte Betrachtung: Ein Teilaspekt der ersten Schwachstelle soll anfällig sein, jedoch sei für diesen Pfad kein vollständiger FPM-Exploit öffentlich gezeigt worden; die zweite Schwachstelle konnte hingegen auch Codeausführung im Kontext von PHP-FPM erreichen, wobei der konkrete Ablauf laut Veröffentlichung von einer Operation innerhalb der laufenden Anwendung abhängt.
Neben der Codeausführung nennt die Sicherheitsmeldung einen weiteren kritischen Hebel: Angreifer können außerdem Speicher (Memory) aus dem PHP-Worker-Prozess auslesen. Der Haken dabei ist, dass ein Worker im Normalbetrieb Werte halten kann, die aus Sicht der Anwendung eigentlich „unter Verschluss“ sind – zum Beispiel Passwörter, Authentifizierungstokens, API-Keys oder Zertifikate anderer Requests. Die Forscher demonstrierten genau diese Speicherablesung gegen Anwendungen, die sie nicht kontrollierten, und beschreiben den Effekt damit als unabhängig davon, welcher Application-Code oberhalb von PHP läuft. Damit rückt nicht nur die reine RCE-Gefahr in den Vordergrund, sondern auch das Szenario, in dem ein einziger fehlgeschlagener Geheimnistransfer oder ein Memory-Leak zur späteren Kompromittierung von Session- oder Secret-Handling führt.
Für die schnellste Risikoreduktion fordert die PHP-Sicherheitsabteilung im Kern: die PHP-Runtime aktualisieren, die für Webrequests genutzt wird, und anschließend Webserver und dauerhaft laufende PHP-Worker neu starten. Konkret sind Fixes für mehrere Major-/Minor-Standards vorgesehen: unter anderem PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35. Betreiber müssen zudem die „Schichtung“ ihrer Umgebung sauber prüfen: Ein Update einer Anwendung wie WordPress oder Laravel ändert nicht automatisch die darunterliegende PHP-Runtime. Entscheidend ist, welche PHP-Version das Serverpaket, der Host oder das Container-Image tatsächlich bereitstellt. Für ältere Zweige gilt ebenfalls: PHP 8.1 und darunter erhalten keine Updates mehr durch das PHP-Projekt, während für den Quellcode-Backport Hilfe in Form veröffentlichter Quellrückportierungen existiert.
Falls ein Update kurzfristig nicht vollständig umsetzbar ist, betont das Advisory, dass nur das Patchen als vollständige Lösung gilt und die empfohlenen Maßnahmen lediglich bestimmte Angriffspfade einschränken, nicht aber die Gesamtrisiko-Exposition aufheben. Für CVE-2026-109618 nennt die Anleitung unter anderem das Setzen von memory_limit=-1, damit Anwendungen den Grenzwert nicht überschreiben können, plus eine Begrenzung von post_max_size sowie strengere Request-Size-Policies auf Webserver- oder Proxy-Ebene. Gleichzeitig warnt PHP ausdrücklich davor, RLIMIT_AS oder RLIMIT_DATA als Ersatz zu verwenden, weil diese Konfigurationen laut Hinweis selbst wieder in den betroffenen Ausführungspfad führen können. Für CVE-2026-109619 wird session.upload_progress.enabled=0 als Maßnahme genannt – aber auch hier gilt: Ohne Patch bleibt das keine vollständige Entschärfung.
Interessant ist auch, wie die Meldung den „Angriffsfenster“-Charakter beschreibt. In der Veröffentlichungsphase waren bereits frühe Versuche im Umlauf; ein Cloud-Security-Anbieter erklärte, dass früh auftretende Angriffe beobachtet worden seien und die kurzfristigen Firewall-Regeln mit neuen Vektoren nachgezogen wurden. Gleichzeitig betonen die Quellen, dass kein bestätigter erfolgreicher Einbruch öffentlich als Tatsache genannt wird. Ergänzend wird berichtet, dass eine weitere Reproduktion von CVE-2026-109618 zum Zeitpunkt der Beobachtung keine Ausnutzung in freier Wildbahn gezeigt habe und dass beide Lücken zu diesem Zeitpunkt nicht im bekannten Katalog der bereits ausgenutzten Schwachstellen geführt worden seien. In einzelnen Organisationen führte das dennoch zu Vorsichtsmaßnahmen wie dem zeitweisen Offline-Schalten von Diensten – teils mit spürbaren Auswirkungen auf Geschäftsprozesse wie Payroll-Workflows.
Aus der Entstehungsgeschichte wird schließlich die Rolle moderner KI-gestützter Assistenz deutlich, ohne dass daraus ein Automatismus „für Exploits“ abgeleitet werden sollte. Laut den beteiligten Forschern seien AI-Modelle dabei geholfen, aus lange im Code vorhandenen Schwachstellen binnen kurzer Zeit lauffähige Exploit-Strukturen abzuleiten; zugleich habe die Kenntnis der historischen Code-Linie trotzdem eine große Rolle gespielt. Für Unternehmen bedeutet das: Wer nur auf „ob die Anwendung der Einfallstor war“ setzt, läuft Gefahr, die tatsächliche Angriffsfläche zu unterschätzen – gerade bei Plattform- und Runtime-Schichten wie dem Interpreter darunter. Wer jetzt priorisiert, sollte nach dem Update vor allem memory_limit und post_max_size gegen die eigenen Anwendungsanforderungen prüfen, denn der Patch erweitert harte Memory-Schutzmechanismen; das kann Prozesse beenden und damit auch andere Verhalten als zuvor erzwingen.
Der harte Zeitplan bleibt trotzdem eindeutig: PHP-Administratoren sollten die betroffenen Versionen aktualisieren, danach die betroffenen Komponenten neu starten und die Serverkonfiguration so überprüfen, dass keine ältere PHP-Runtime aus Container-Images oder Distribution-Backports „scheinbar“ unkritisch wirkt. Als zusätzliche Wachsamkeit wird empfohlen, auf auffällige Multipart-Request-Muster mit nachfolgenden Memory-Limit-Fehlern, wiederholte HTTP-500-Fehler und ungewöhnliche Neustarts von PHP-Worker-Prozessen zu achten. Wer sich auf KI-Entwicklung (KI) stützt, profitiert dabei indirekt: bessere Erkennungsmuster in Logdaten und automatisiertes Incident-Triage können bei der schnellen Verifikation helfen – aber die Basis bleibt klassisch, nämlich die Runtime auf dem neuesten Patchstand zu halten.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Notfall-Patches für PHP2Shell: kritische RCE-Lücken mit CVE-2026-109618/109619" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Notfall-Patches für PHP2Shell: kritische RCE-Lücken mit CVE-2026-109618/109619" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »Notfall-Patches für PHP2Shell: kritische RCE-Lücken mit CVE-2026-109618/109619« bei Google Deutschland suchen, bei Bing oder Google News!