LONDON (IT BOLTWISE) – Zwei PHP-Sicherheitslücken mit den Namen PHP2Shell und den CVE-Codes CVE-2026-109618 sowie CVE-2026-109619 werden aktuell per Patch geschlossen. Die Probleme ermöglichen offenbar Remote Code Execution ohne Passwort und greifen damit besonders gefährliche Angriffsflächen im Internet an. Die PHP Foundation stellte die Fixes am Mittwoch bereit, nachdem große Hosting-Umgebungen bereits vorab benachrichtigt worden waren. Gleichzeitig warnen Sicherheitsteams, dass noch viele Systeme nicht aktualisiert sind und sich die Ausnutzung nach der Offenlegung beschleunigt hat.
Das Internet hat offenbar nur knapp einen massiven Ausfalltag abgewendet: Zwei Schwachstellen im verbreiteten Web-Ökosystem rund um PHP wurden am Mittwoch per Fix geschlossen, nachdem sich gezeigt hatte, dass sie weit mehr als ein Theorieproblem sind. Unter den Bezeichnungen PHP2Shell, offiziell markiert mit CVE-2026-109618 und CVE-2026-109619, geht es um den klassischen Albtraum aus der Web-Sicherheit: ein Angreifer kann eine verwundbare PHP-Umgebung aus der Ferne übernehmen. Entscheidend ist dabei nicht nur die technische Schwere, sondern auch die Art des Zugriffs: Der Angriff soll ohne Passwort und ohne das Öffnen einer Datei oder das Klicken auf einen Link funktionieren können.
Technisch lässt sich das Risiko so einordnen, wie es in der Sicherheitscommunity üblicherweise bei Schwachstellen dieser Kategorie kommuniziert wird: Der Kern ist eine Remote Code Execution, also die Fähigkeit, auf einem Zielsystem Code auszuführen, obwohl der Angreifer keinen privilegierten Zugang besitzt. Dazu kommt eine zweite Eskalationsstufe: Der Zugriff wird als unauthenticated beschrieben, das heißt, der Angreifer braucht keine gültigen Zugangsdaten, um in den Systemzustand einzudringen. In der Praxis ist damit die Hürde für Täter besonders niedrig, weil sich der Angriff nicht auf „belohnte“ Szenarien wie gestohlene Cookies oder kompromittierte Accounts stützt, sondern auf die Verwundbarkeit an sich. Von dort aus ist der nächste Schritt typischerweise das Installieren von Malware – entweder, um Daten zu stehlen oder um einen dauerhaften Einstieg („Foothold“) für spätere Aktionen zu sichern.
Warum konnte ausgerechnet PHP zu einem solchen „Single Point of Failure“ im Web werden? Laut dem Berichtsauszug basiert ein erheblicher Anteil des öffentlich erreichbaren Webs auf PHP-basierter Software; genannt werden rund 70% der web-facing Systeme. Dazu zählen nicht nur isolierte Eigenentwicklungen, sondern auch bekannte CMS und Plattformen, die PHP tief in ihrem Runtime-Betrieb nutzen. Genau diese Kombination aus breiter Verbreitung und langer Lebensdauer ist historisch typisch für Web-Stacks: Viele Komponenten stammen aus mehreren Entwicklungswellen und werden zwar regelmäßig gewartet, aber nicht immer mit dem gleichen Tempo wie frische Plattformen. Dass PHP „open source“ ist, hilft zwar bei Transparenz und schnellen Patches, bedeutet aber auch: Wenn eine Sicherheitsklasse über Jahre hinweg nicht ausgenutzt werden konnte, können Lücken dennoch lange unentdeckt bleiben, bis jemand den passenden Weg zur Ausnutzung findet.
Der zeitliche Ablauf zeigt zudem, wie eng die technische Realität mit Prozessdisziplin verknüpft ist. Die Schwachstellen seien zunächst 2024 entdeckt worden, aber damals offenbar nicht als ausnutzbar bewertet worden; erst „kürzlich“ habe man einen Weg gefunden, der für eine echte Attacke taugt. Laut Quelle informierte der Sicherheitsforscher Calif die PHP Foundation und es folgte eine koordinierte Offenlegung mit Embargo: große Betreiber und Web-Hosts, die stark von PHP abhängen, bekamen frühzeitig die Hinweise und Patches, während die Details bis zu einem Stichtag zurückgehalten wurden. Parallel dazu meldete ein großer Cloud-Anbieter (Amazon), dass er etwa eine Woche vor dem Patch-Release bereits Anzeichen für Ausnutzung beobachtet habe und nannte als grobe Orientierung eine Prüfung auf entsprechende Spuren ab dem 17. Oktober. Damit wird das zentrale Dilemma sichtbar: Selbst gut koordinierte Embargos können nicht immer vollständig verhindern, dass irgendwo in der Kette Hinweise auftauchen oder Angreifer die Fix-Informationen vorzeitig ableiten.
Für die Einschätzung der Gegenwart ist außerdem relevant, welche Rolle KI in der Entdeckung spielte. In der Quelle heißt es, dass KI-gestützte Unterstützung im Zuge der Untersuchung eine Rolle spielte, die eigentliche Arbeit aber auf dem vorhandenen Expertenwissen aufbaute: Das Erkennen aller Bugs per simplen Prompt wird ausdrücklich verneint. Diese Differenzierung passt zu einem realistischen Bild der KI-Nutzung in der Security: Modelle können dabei helfen, Suchräume zu strukturieren, Varianten schneller zu testen oder Hypothesen zu formulieren, ersetzen aber selten das Verständnis von Codepfaden, Parserlogik und Exploit-Historie. Dass gleichzeitig nach der Veröffentlichung die Versuche zur Ausnutzung offenbar stark anstiegen, wird als Signal dafür gelesen, wie schnell sich Angreifer auf neue Einfallstore stürzen, sobald Details verfügbar sind. Gleichzeitig bleibt die Lage nach den Meldungen nicht „abgeschlossen“, weil ein Teil der Systeme weiterhin nicht gepatcht sein dürfte und auch andere Umgebungen – von Entwickler-Tools bis zu Komponenten in Routern, Storage- und Security-Appliances – später nachgezogen werden.
Der breitere Markt- und Technologiekontext verstärkt die Dringlichkeit. Die Quelle verweist auf die typische Angriffsoberfläche „memory unsafe“ in älteren Softwarekomponenten: Wenn Speicherzugriffe nicht ausreichend gesichert sind, können ganze Klassen von Schwachstellen auftreten, die im Worst Case Daten aus dem Prozessspeicher abfließen lassen. Die National Security Agency wird in dem Auszug mit der Aussage zitiert, dass etwa 75% der aktiv ausgenutzten Schwachstellen auf Speicherprobleme zurückgehen. Genau aus diesem Grund gewinnt die Migration zu „memory-safe“ Sprachen wie Python, Rust oder Swift seit Jahren an Bedeutung; allerdings bedeutet das nicht, dass ältere Stacks verschwinden. Vielmehr bleibt der Angriffsrahmen groß, weil Infrastruktur und Applikationen oft lange leben – und damit auch die Angriffsflächen, sobald sich eine neue Ausnutzungspraxis zeigt.
Was bedeutet das für Unternehmen, die PHP in ihrem Betrieb haben? Entscheidend ist weniger das „Warum“, sondern das „Was jetzt“: Patches müssen dort ausgerollt werden, wo PHP tatsächlich läuft – inklusive Spezialumgebungen, die man im Incident-Response-Prozess leicht übersieht. Gerade kleinere IT-Teams oder Einzelentwickler, so die Logik der Quelle, könnten langsamer nachziehen, und integriert in eigene Produkte wird PHP teils auch indirekt über Bibliotheken, Container-Images oder Appliance-Software. Bis die Angriffsfläche sinkt, bleibt der Zeitraum zwischen Patch-Release und vollständiger Aktualisierung die kritische Phase. Und selbst wenn großflächige Massenausnutzungen zunächst ausbleiben, können Spuren von Angriffen, Kompromittierungen und Folgeaktivitäten noch über Wochen nachwirken – ein Szenario, das Sicherheitsteams typischerweise als „ripple effects“ länger anhaltender Vorfälle beschreiben.
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "PHP2Shell: Zwei kritische PHP-Schwachstellen entlarvt – Patch-Welle läuft an" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "PHP2Shell: Zwei kritische PHP-Schwachstellen entlarvt – Patch-Welle läuft an" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »PHP2Shell: Zwei kritische PHP-Schwachstellen entlarvt – Patch-Welle läuft an« bei Google Deutschland suchen, bei Bing oder Google News!