BEDROHUNG
Für zwei kritische PHP-Schwachstellen wurden Sicherheitsupdates veröffentlicht: Die als „PHP2Shell“ zusammengefassten Lücken CVE-2026-109618 und CVE-2026-109619 werden jeweils mit einem CVSS-v4.0-Score von 9.2 bewertet und ermöglichen nicht-authentifizierten Angreifern die Ausführung von Remote-Code (RCE) mit den Rechten des jeweiligen PHP-Webworkers.
Beide Schwachstellen entstehen durch Fehler bei der Speicherverwaltung, wenn die Verarbeitung einer PHP-Anfrage vorzeitig abgebrochen wird. Im Fall von CVE-2026-109618 kann eine Out-of-Memory-Situation dazu führen, dass PHP während der Bereinigung einer Anfrage auf unvollständig initialisierte Speicherbereiche zugreift. CVE-2026-109619 hingegen ermöglicht durch einen fehlerhaft erhaltenen globalen Zustand die Entstehung eines Use-After-Free-Zustands des Heaps, bei dem bereits freigegebener Speicher erneut verwendet wird. Dadurch können sensible Informationen aus dem Prozessspeicher ausgelesen oder beliebiger Code ausgeführt werden.
Betroffen sind sämtliche PHP-Installationen, die Webanfragen verarbeiten, darunter PHP-FPM, Apache mit mod_php, php-cgi und FrankenPHP. Nach Angaben des PHP-Teams besteht das höchste Risiko bei mod_php, da eine nicht authentifizierte Anfrage die Ausnutzung bereits vor der Ausführung des eigentlichen Anwendungscodes auslösen kann. Sicherheitsforscher demonstrierten außerdem erfolgreiche Angriffe auf WordPress, Drupal und Joomla. Cloudflare beobachtet bereits erste Ausnutzungsversuche in freier Wildbahn und veröffentlichte entsprechende WAF-Regeln – diese bieten allerdings keinen vollständigen Schutz.
Sicherheitsupdates stehen bereit. Für ältere Versionen wie PHP 7.4, 8.0 und 8.1 wurden außerdem begrenzte Quellcode-Patches veröffentlicht, da diese nicht mehr regulär unterstützt werden. Administratoren wird empfohlen, betroffene PHP-Installationen umgehend zu aktualisieren und die zugehörigen Webserver beziehungsweise PHP-Worker anschließend neu zu starten. Falls eine Aktualisierung kurzfristig nicht möglich ist, können temporäre Konfigurationsänderungen das Ausnutzungsrisiko reduzieren, eine vollständige Mitigation existiert jedoch nicht.
Was jetzt zu tun ist:
- verwendete PHP-Versionen auf Betroffenheit prüfen
- umgehend patchen
- gegebebenfalls temporäre Mitigations gemäß PHP-Advisory umsetzen und öffentlich erreichbare Systeme isolieren
Autor: Michael Niers
