CVE-2026-109618 / CVE-2026-109619 – PHP2Shell: Kritische RCE-Lücken in PHP

Was ist passiert?

Unter dem Namen "PHP2Shell" wurden zwei kritische Lücken im PHP-Kern bekannt (CVSS v4 9.2, laut PHP "critical"). Beide werden ausgenutzt, bevor überhaupt Anwendungscode läuft – Login, Plugins oder ein bestimmtes CMS spielen keine Rolle:

• ▸CVE-2026-109618: Eine präparierte POST-Anfrage lässt PHP beim Einlesen der Formulardaten das Speicherlimit überschreiten. Dabei bleibt ein halb initialisierter Eintrag zurück, der beim Aufräumen den Speicher korrumpiert.
• ▸CVE-2026-109619: Nach einem Fehler behält ein PHP-Worker Verweise auf bereits freigegebenen Speicher (Use-after-free), die eine spätere Anfrage nutzen kann – erreichbar über das standardmässig aktive Session-Upload-Progress.

Die Details wurden am 20. Oktober vorzeitig geleakt, die Patches erschienen am 21. Oktober. Amazon verzeichnete erste Angriffsversuche bereits am 17. Oktober; inzwischen wird breit nach verwundbaren Servern gescannt.

Wen betrifft es?

• ▸Alle PHP-Installationen, die Webanfragen bedienen: Apache mit mod_php, PHP-FPM (nginx), php-cgi, FrankenPHP und LiteSpeed.
• ▸Typische KMU-Systeme: WordPress, Webshops, Nextcloud, Intranet-Anwendungen und Webhosting.
• ▸Versteckte PHP-Installationen: In Appliances, Container-Images und Fremdsoftware gebündeltes PHP.
• ▸Veraltete Versionen: Auch PHP 7.4 bis 8.1 sind verwundbar, erhalten aber keine regulären Updates mehr.

Was ist zu tun?

1. ▸Sofort patchen: Aktualisiere auf PHP 8.5.12, 8.4.27, 8.3.36 oder 8.2.35 bzw. spiele das Sicherheitsupdate deiner Linux-Distribution oder deines Hosters ein. Internet-erreichbare Systeme zuerst.
2. ▸Inventar erstellen: Wo läuft überall PHP, auch eingebettet in Appliances oder Container? Massgeblich ist die PHP-Version des Webservers, nicht die der Kommandozeile.
3. ▸Übergangslösung, falls kein Patch möglich ist: Setze session.upload_progress.enabled=0 (bei PHP 8.5 zusätzlich fatal_error_backtraces=0), begrenze die Grösse von Anfragen am Reverse Proxy bzw. an der WAF und starte anschliessend alle PHP-Worker neu. Das reduziert das Risiko, ersetzt aber nicht den Patch.
4. ▸Auf Kompromittierung prüfen: Achte auf Webserver-Prozesse, die eine Shell starten, und auf Log-Einträge "Allowed memory size … exhausted" mit "Unknown on line 0" in Verbindung mit sehr grossen POST-Anfragen.
5. ▸Altsysteme isolieren: Trenne Systeme, die sich nicht aktualisieren lassen oder noch PHP 8.1 oder älter nutzen, vom Internet.

---

Dieses Advisory dient der Information. Für Unterstützung bei der Absicherung deiner Webserver kontaktiere uns.