Ausnutzung in der Wildbahn bestätigt (PHP2Shell): CVE-2026-109618/109619 werden aktiv ausgenutzt — Honeypot-RCE gegen Apache mod_php mit PHP 8.4.26 (24.10.2026). Sofort patchen auf PHP 8.5.12 / 8.4.27 / 8.3.36 / 8.2.35 oder Vendor-Backport. CISA SIGMA-Regel; CISA KEV (Patch-Frist 29.10.2026 für US-Behörden). Quellen: BleepingComputer 26.10.2026 · Honeypot-Report 24.10.2026 · CISA SIGMA · CISA KEV.

PHP2Shell · CVE-2026-109618 / CVE-2026-109619

Potenziell betroffene Produkte und Prüfstatus

Diese Übersicht behandelt die beiden kritischen PHP-Sicherheitslücken „PHP2Shell“, die Codeausführung aus der Ferne ohne vorherige Anmeldung ermöglichen könnten · Basis: NCSC-NL-Inventarliste (NCSC-NL/php2shell, Commit 0ae7abb) · 927 Einträge · Letztes Update: 29.10.2026, 16:12 Uhr (MEZ) · Nächste Aktualisierung: stündlich
Die Liste ist ein Ausgangspunkt für Prüfungen, keine Bestätigung der Betroffenheit jeder Installation.

Legende

Vulnerable – angreifbar, wenn die eingesetzte PHP-Laufzeit verwundbar ist (Lücke unter der Anwendung).
Investigation – PHP-Abhängigkeit bestätigt, CVE-Bezug offen → selbst prüfen.
Fix – betrifft die angegebene korrigierte Version/Bereitstellung; bestehende Installationen sind nicht automatisch sicher (Update/Redeploy/Neustart prüfen).
Not vuln – laut Datenstand nicht betroffen (Begründung in der Notiz).
Unklar – keine belastbare Einstufung im Datensatz.
Herstellerpatch verfügbar – Paketstand prüfen – Backport-Paket (z. B. TuxCare/CloudLinux); die Basisversion weist den Patch nicht nach — Paket-Changelog und tatsächlichen Stand prüfen.

1. PatchenPHP auf 8.5.12 / 8.4.27 / 8.3.36 / 8.2.35 bzw. das Distributionspaket aktualisieren (z. B. Ubuntu 8.3.6-0ubuntu0.24.04.13). Danach verifizieren: Paketversion und die tatsächlich verwendete Web-Laufzeit prüfen (php -v zeigt nur die CLI-Version), vollständigen Paketbuild kontrollieren und alle betroffenen Worker ersetzen (Apache/FPM neu laden bzw. neu starten). Nur der Patch schließt die beiden genannten CVEs vollständig — zusätzliche Anwendungsfehler und Forschungsbefunde sind separat zu behandeln.

2. IsolierenInternet-facing PHP-Anwendungen bis zum verifizierten Patch vom Netz nehmen oder per VPN/Allowlist abschirmen. WAF ist ergänzende Risikoreduktion — kein gleichwertiger Ersatz für Isolation und kein Patchersatz (so auch Cloudflare). Admin-Oberflächen (auch Appliances, NAS, Router) nie direkt öffentlich betreiben.

3. AbschaltenNicht benötigte PHP-Dienste/Container stoppen. session.upload_progress.enabled=0 — sofern ungenutzt — vor der Request-Verarbeitung konfigurieren und Worker neu starten; deckt nur bestimmte Session-Angriffswege ab, nicht beide CVEs vollständig. Ungepatchte Alt-Installationen abschalten oder vom Netz trennen.

4. PHP-Hinweis (23.10.2026)PHP beschreibt einen gesonderten, engen RCE-Fall (CVE-2026-115560): Session-Serialisierung php_binary/php_serialize, Wechsel auf php per ini_set() vor session_start() und gleichzeitig aktive Upload-Progress-Funktion. Empfehlung: Upload Progress deaktiviert lassen (session.upload_progress.enabled=0); Anwendungen ohne diesen Laufzeitwechsel können die Funktion eingeschaltet lassen. Die Fixbewertung für CVE-2026-109618/109619 (PHP 8.2.35/8.3.36/8.4.27/8.5.12) bleibt unverändert.

927 Alle

226 Vulnerable

349 Investigation

154 Fix

201 Not vuln

1 Unklar

Produkt / Hersteller & Version	CVE-618	CVE-619	Hinweis & Quelle

Datenquelle: NCSC-NL/php2shell (Commit 0ae7abb), SPDX-Inventar PHP_Downstream_Inventory.spdx3.json · TLP:CLEAR.
Korrektur: Die drei SUSE-BCI-Container (bci/php, bci/php-apache, bci/php-fpm) sind als Vulnerable geführt — SUSE bewertet sie als „Affected".
AntiLeaks GmbH · Diese Seite ersetzt keinen Patch.