PHP2Shell: CISA bestätigt aktive Ausnutzung zweier PHP-Schwachstellen
Die US-Cybersicherheitsbehörde CISA hat am Montag die beiden PHP2Shell-Schwachstellen CVE-2026-109618 und CVE-2026-109619 in ihren Katalog der bekannten ausgenutzten Sicherheitslücken aufgenommen. Damit ist aktive Ausnutzung bestätigt. Die Fehler ermöglichen unauthentifizierte Remote-Code-Ausführung auf betroffenen PHP-Installationen. PHP-Versionen 8.5.12, 8.4.27, 8.3.36 und 8.2.35 beheben die Schwachstellen; US-Bundesbehörden müssen die erforderlichen Korrekturen bis zum 29. Oktober 2026 anwenden.
Der Nachweis erfolgreicher Angriffe stammt aus Honeypots des Perplexity-Mitarbeiters Adel Karimi. Seine Analyse dokumentiert 35 gestartete Shells auf drei Honeypots mit PHP 8.4.26; die Angriffe kamen von zwei IP-Adressen. Zuvor hatten Beobachter zwar millionenfache Exploit-Versuche registriert, eine tatsächliche Ausführung eingeschleusten Schadcodes war zunächst nicht belegt.
Was die Schwachstellen ermöglichen
CVE-2026-109618 wird als Speicherfehler mit Out-of-Memory-Korruption beschrieben. CVE-2026-109619 betrifft einen veralteten internen Request-Zustand. Beide Fehler können laut der vorliegenden technischen Einordnung ohne Authentifizierung zur Remote-Code-Ausführung führen. Für Betreiber ist deshalb entscheidend, nicht nur die von außen sichtbare Versionsnummer zu prüfen, sondern festzustellen, ob die Distribution relevante Sicherheitskorrekturen zurückportiert hat.
Die verfügbaren Scans zeigen zugleich, dass die Bereinigung nicht abgeschlossen ist. Heise berichtet, dass am Dienstagmorgen noch mehr als vier Millionen Dienste Versionsnummern anfälliger PHP-Versionen meldeten. Censys weist jedoch darauf hin, dass Linux-Distributionen Patches teilweise in ältere Versionsstände zurückportieren. Die Scanwerte sind daher ein Hinweis auf die Exposition, aber keine vollständige Zählung tatsächlich verwundbarer Systeme.
Betreiber sollten die von PHP bereitgestellten behobenen Versionen oder entsprechende Sicherheitsupdates ihrer Distribution einsetzen. Der Exploit-Nachweis ist technisch nicht automatisch auf jede Umgebung übertragbar: Die dokumentierte Ausführung erfolgte unter einem ausdrücklich günstigen Single-Worker-mod_php-Profil. Andere Worker-Anzahlen, PHP-Builds oder Anwendungen können sich beim Angriff anders verhalten.