PHP2Shell: Schwachstellen im PHP-Kern und Risiken durch sauberen Code

Ihre Anwendung kann Code-Reviews bestehen, Eingaben escapen und ihre Authentifizierungslogik so ordentlich halten, dass ein Auditor kurz an die Menschheit glaubt. Und dann kann die darunterliegende Laufzeitumgebung einem nicht authentifizierten Besucher trotzdem ein Brecheisen in die Hand drücken. Das ist die unbequeme Lektion von PHP2Shell, den beiden PHP-Schwachstellen, die als CVE-2026-109618 und CVE-2026-109619 verfolgt werden.

Das Hauptrisiko besteht nicht darin, dass jede PHP-App plötzlich vergessen hat, wie Sicherheit funktioniert. Es besteht darin, dass die PHP-Engine selbst im Explosionsradius liegt. Das bedeutet: Sauberer Anwendungscode kann auf einer unsicheren Ausführungsschicht sitzen. Patch Notes lesen sich normalerweise wie Bedienungsanleitungen für Haushaltsgeräte, aber wenn ein zentraler Interpreter kritische Fixes erhält, hat der Keller angefangen, Geräusche zu machen.

Was laut CISA und Huntress unterhalb des Frameworks passiert ist

CISA sagte, PHP2Shell ermögliche unauthentifizierte Remote Code Execution in PHP und betreffe alle PHP-Installationen, die Webanfragen bedienen. Huntress sagte, zu den exponierten Deployments gehörten PHP-FPM, Apache mit mod_php, php-cgi, FrankenPHP und LiteSpeed. Das entscheidende Detail für Entwickler ist die Reihenfolge: Huntress beschrieb einen mod_php-Exploit-Pfad, der „bevor irgendein Anwendungscode läuft“ ausgelöst werden kann. Das ist die unbeliebteste Wendung im Sicherheitstheater, denn Ihr Controller bekommt nie die Chance, mutig auszusehen.

@title PHP2Shell-Anfragepfad
@source CISA
@source Wiz Blog

  Web request
     │
     ▼
  PHP core
     │
     ├→ Code execution
     └→ Memory disclosure

@caption Der riskante Schritt passiert in PHP selbst, unterhalb des Anwendungscodes, den Teams normalerweise prüfen.

BleepingComputer berichtete, dass PHP Notfall-Sicherheitsupdates für den 21. Oktober um 14:00 UTC plante, wobei beide Schwachstellen nach CVSS v4.0 mit 9,2 bewertet wurden. Huntress sagte später, das PHP-Team habe PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35 am 21. Oktober gegen 9:30 Uhr ET veröffentlicht. CISA sagte außerdem, dass zum Zeitpunkt der Veröffentlichung keine Ausnutzung beobachtet worden sei. Das ist nützlicher Kontext, aber kein Erlaubnisschein, zu warten, bis der Scanner aufhört zu schreien.

Warum sauberer App-Code Sie laut Wiz und SANS nicht rettet

Wiz sagte, die Schwachstellen lägen in PHP selbst, unabhängig davon, welche Anwendung darüber läuft. Wiz sagte außerdem, dass Versionen zurück bis PHP 5.4 von mindestens einer der Schwachstellen betroffen seien und dass die Fehler unauthentifizierten Angreifern erlauben können, Code auszuführen oder Prozessspeicher auszulesen. Dieser Speicher kann Passwörter, Authentifizierungstoken, API-Schlüssel und Zertifikate enthalten. Das ist im Grunde das Laufzeitäquivalent dazu, während einer Feuerübung den Aktenschrank offen stehen zu lassen.

SANS beschrieb das Problem ebenfalls als PHP-Core-Schwachstelle und sagte, Standard-PHP-Installationen seien voraussichtlich verwundbar. Es warnte außerdem, dass voraussichtlich nur PHP 8 einen Patch erhalten werde, weil ältere Versionen nicht mehr unterstützt werden. An diesem Punkt wird Legacy-Software weniger zu einer Business-Continuity-Strategie und mehr zu einer verfluchten Antiquität mit Netzwerkkabel.

Das Reaktionsfenster laut The Record und BleepingComputer

The Record berichtete, dass die Bugs Remote Code Execution auf ungepatchten Websites ermöglichen können und dass Hunderte Websites offline genommen wurden, während Administratoren reagierten. Außerdem zitierte es das Sicherheitsteam von PHP, das Nutzer dazu aufforderte, sich vorzubereiten, damit sie sofort aktualisieren konnten, sobald die Veröffentlichung verfügbar war. Das ist die verantwortungsvolle Version von Panik: kurz, geplant und idealerweise gefolgt von einem Wartungsfenster statt einer Incident-Bridge.

BleepingComputer berichtete, dass die Schwachstellen als CVE-2026-109618 und CVE-2026-109619 verfolgt wurden und dass Forschende glaubten, sie beträfen PHP-Versionen 5, 6, 7 und 8. SANS sagte, frühe Empfehlungen hätten vorgeschlagen, session.upload_progress.enabled als teilweise Gegenmaßnahme auf Off zu setzen, aber das Wort teilweise leistet hier echte Arbeit. Gegenmaßnahmen kaufen Zeit. Patches bezahlen die Rechnung.

Was sich laut CISA und SANS für Teams tatsächlich ändert

CISA forderte Organisationen auf, Systeme zu identifizieren und zu inventarisieren, auf denen irgendeine PHP-Version läuft, und dann das Patchen von internetseitig erreichbaren Systemen zu priorisieren. Es warnte außerdem, dass die „Verbreitung möglicherweise nicht direkt sichtbar“ sei, weil PHP als Komponente anderer Software eingebettet sein könne. Übersetzung: Wenn Ihr Asset-Inventar nur den Namen der App kennt, aber nicht die darunterliegende Laufzeitumgebung, herzlichen Glückwunsch, Sie haben Verstecken für Incident Response erfunden.

SANS wies darauf hin, dass viele Open-Source-Firewall- und Router-Produkte PHP verwenden, und riet dazu, Web-Admin-Oberflächen nicht dem Internet auszusetzen. Dieser Rat ist nicht glamourös, aber das ist die Erklärung, warum ein Administrationspanel zur Eingangstür wurde, auch nicht. Die Laufzeit-Inventarisierung sollte PHP-basierte Webanwendungen, Content-Management-Systeme, Web-Admin-Oberflächen und Herstellersoftware abdecken, bei der PHP unter dem Produktnamen gebündelt sein kann.

Was das tatsächlich für Sie bedeutet

Wenn Sie PHP für Webanfragen betreiben, wechseln Sie auf PHP 8.5.12, 8.4.27, 8.3.36 oder 8.2.35, wie CISA empfiehlt. Wenn Sie PHP 8.1 oder älter nutzen, behandeln Sie das als Problem einer nicht unterstützten Laufzeitumgebung, nicht nur als Punkt im Entwickler-Backlog. Die Lektion für Entwickler ist größer als dieses CVE-Paar: Anwendungssicherheit muss den Interpreter, die Webserver-Integration und die stillen Plattformabhängigkeiten einschließen, die Code ausführen, bevor Ihr Code sich überhaupt vorstellen darf.

Als Nächstes sollten Sie beobachten, ob nachgelagerte Produkte eigene Updates herausgeben und ob Asset-Inventare PHP tatsächlich finden können, wenn es in anderer Software versteckt ist. Keine Weltuntergangsmusik nötig. Patchen Sie einfach die Laufzeitumgebung, verifizieren Sie die laufende Version, reduzieren Sie unnötige Internet-Exponierung und setzen Sie Sprach-Engines auf die Liste der Dinge, die Ihr Sicherheitsprogramm als Produktionsinfrastruktur behandelt statt als Klempnerarbeit.