PHP-Sicherheitslücken CVE-2026-109618 / CVE-2026-109619 (PHP2Shell): Kritische RCE wird aktiv ausgenutzt

Zusammenfassung

Das PHP-Projekt hat am 21. Oktober 2026 PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35 veröffentlicht. Die Versionen schließen zwei kritische Lücken, die eine Remote-Code-Ausführung (RCE) ohne Authentifizierung ermöglichen können. Die von Forschern „PHP2Shell“ genannten Schwachstellen stecken nicht in einem Plugin, sondern in PHP selbst.

• CVE-2026-109618 (GHSA-w8hw-w9fx-j79w): RCE durch Speicherbeschädigung bei Speichermangel (OOM).
• CVE-2026-109619 (GHSA-6wmf-4rv5-p3rp): RCE durch veralteten globalen Zustand aus einer vorherigen Anfrage (Use-after-free).
• CVSS v4.0: 9,2, Schweregrad: Kritisch (der in sozialen Medien kursierende Wert 10,0 ist falsch).
• Aktiv ausgenutzt: Ja. Amazon beobachtete einen ersten Versuch am 17. Oktober, vier Tage vor der Veröffentlichung; PoCs erschienen wenige Stunden nach dem Patch.
• Status: Patch veröffentlicht.

Worum geht es?

CVE-2026-109618: Erreicht eine Anfrage PHPs memory_limit genau im falschen Moment, kann PHP teilweise initialisierte interne Daten hinterlassen und später als gültig behandeln – der Speicher wird beschädigt. Angreifer können dies mit präparierten Multipart-Anfragen (Datei-Uploads) auslösen. Laut PHP wurde unter Apache mit mod_php RCE mit einer einzigen nicht authentifizierten Anfrage und Standardeinstellungen gezeigt, noch bevor Anwendungscode läuft; auch unter PHP-FPM wurde RCE über Anwendungscode bestätigt.

CVE-2026-109619: Nach einem fatalen Fehler kann interner Zustand einer Anfrage weiter auf freigegebenen Speicher zeigen. Eine spätere Anfrage im selben Worker kann diesen Speicher verwenden. RCE wurde gegen eine reale Anwendung demonstriert.

Wer ist betroffen?

Laut PHP ist jede PHP-Installation, die Webanfragen verarbeitet, gefährdet: PHP-FPM, Apache mod_php, php-cgi, FrankenPHP und LiteSpeed – mod_php mit dem höchsten Risiko. In der Praxis betrifft das WordPress-, Joomla- und Drupal-Websites, PHP-basierte Shopsysteme, Shared Hosting (cPanel, Plesk) und VPS.

Betroffene und korrigierte Versionen

Das PHP-Sicherheitsteam hat zudem minimale Quellcode-Backports für 7.4, 8.0 und 8.1 bereitgestellt. Linux-Distributionen erhielten die Patches vorab – prüfen Sie die aktualisierten Pakete Ihres Anbieters. Das ehrenamtlich betriebene Repository rpms.remirepo.net hatte am 21. Oktober keine Updates; PHP rät, auf Distributionspakete umzusteigen oder aus dem Quellcode zu bauen. PHP 8.2 erreicht am 31. Dezember 2026 das Supportende.

cPanel und Plesk

• cPanel (EasyApache 4): gepatchte Pakete ea-php82 8.2.35, ea-php83 8.3.36, ea-php84 8.4.27, ea-php85 8.5.12; für EOL-Versionen ea-php74 7.4.33-19, ea-php80 8.0.30-12, ea-php81 8.1.34-5. cPanel & WHM 11.110.0.153, 11.134.0.66, 11.136.0.50 und 11.138.0.18 sind verfügbar. Starten Sie PHP-FPM und Apache nach dem Update neu.
• Plesk Obsidian: PHP 8.2.35, 8.3.36, 8.4.27 und 8.5.12 sind für Linux und Windows verfügbar. Unter Linux behalten 7.4.33, 8.0.30 und 8.1.34 ihre Versionsnummer; Builds vom 21. Oktober 2026 enthalten den Fix. Auch Plesks eigene PHP-Engine (sw-engine / plesk-engine) ist betroffen: Aktualisieren Sie auf Plesk Obsidian 18.0.80 Update 11 oder 18.0.81 Update 4.
• Shared Hosting: Der Fix muss vom Hoster kommen. Lassen Sie sich den verwendeten PHP-Build und den Neustart der Dienste bestätigen.

Ausnutzung

Amazon Threat Intelligence stellte bereits am 17. Oktober 2026, vier Tage vor der Veröffentlichung, einen Ausnutzungsversuch fest. Am 21. Oktober tauchten mehrere PoCs auf, Versuche verschiedener Akteure folgten; laut Amazon wird PHP2Shell inzwischen breit ausgenutzt. Auch CERT-EU weist auf kursierende PoCs und eine wahrscheinliche Ausnutzung hin.

Türkei: TR-26-1372

Die türkische Cybersicherheitsbehörde (ehemals USOM) veröffentlichte am 21. Oktober 2026 den Hinweis TR-26-1372 und empfiehlt:

• betroffene Systeme zu identifizieren und unverzüglich auf sichere Versionen zu aktualisieren,
• externen Zugriff auf Verwaltungsoberflächen und kritische PHP-Dienste per Firewall/ACL auf vertrauenswürdige IP-Adressen zu beschränken,
• Systeme ohne Bedarf an Zugriffen aus dem Ausland umgehend für internationalen Datenverkehr zu sperren.

Wenn Sie nicht sofort aktualisieren können

Laut PHP ist nur das Update eine vollständige Lösung. Die folgenden Maßnahmen engen lediglich bestimmte Angriffswege ein und machen eine Installation nicht sicher:

Für CVE-2026-109618

• memory_limit=-1 so setzen, dass Anwendungen es nicht überschreiben können (z. B. php_admin_value im FPM-Pool oder in Apache).
• post_max_size senken: 8M ohne Uploads, sonst 32M; upload_max_filesize darunter halten.
• Am Webserver/Proxy Grenzen für Anfragegröße, Feldanzahl, Multipart-Teile und Header setzen (auch für Anfragen ohne verwertbares Content-Length).

Für CVE-2026-109619

• session.upload_progress.enabled=0 in php.ini, im FPM-Pool oder in der Serverkonfiguration setzen und alle Worker neu starten (ini_set() oder .user.ini wirken nicht).
• Unter PHP 8.5 fatal_error_backtraces=0 setzen.

Logs ab dem 17. Oktober prüfen

Da die Ausnutzung vor der Veröffentlichung begann, empfiehlt Amazon, Untersuchungen mindestens ab dem 17. Oktober 2026 zu beginnen. Prüfen Sie auf öffentlich erreichbaren PHP-Servern Webserver- und PHP-FPM-Logs auf unerwartete Worker-Abstürze, ungewöhnlich große Multipart-/POST-Anfragen, neue oder geänderte Dateien (Web-Shells) und neue Admin-Konten.

Quellen

• PHP-Sicherheitshinweis (21. Oktober 2026)
• GHSA-w8hw-w9fx-j79w – CVE-2026-109618
• GHSA-6wmf-4rv5-p3rp – CVE-2026-109619
• The PHP Foundation
• Amazon Threat Intelligence
• cPanel-Artikel
• Plesk-Artikel
• CERT-EU Security Advisory 2026-018
• Türkische Cybersicherheitsbehörde, TR-26-1372 (siberguvenlik.gov.tr)

Wie kann Doğa Network helfen?

Wir prüfen, welche PHP-Version Ihre Website, Ihr Hosting-Konto oder Ihr VPS nutzt, aktualisieren auf eine gepatchte Version, bringen Ihre cPanel-/Plesk-Server auf den neuesten Stand und prüfen Ihre Logs ab dem 17. Oktober. Für Anwendungen auf nicht mehr unterstützten PHP-Versionen erstellen wir einen Migrationsplan.

📞 +90 850 888 3642 · ✉️ hi@doga.network