PHP-Schwachstellen unter aktiven Angriffen erfordern Updates
PHP-Schwachstellen, die unauthenticated remote code execution ermöglichen – Angreifer können also Code ausführen, ohne sich zuvor anzumelden –, werden derzeit aktiv ausgenutzt. Die US-amerikanische Cybersecurity and Infrastructure Security Agency (CISA) hat beide PHP2Shell-Schwachstellen in ihren Known Exploited Vulnerabilities (KEV) catalog aufgenommen, eine Liste von Sicherheitslücken, deren Nutzung bei Angriffen bestätigt wurde.
Bei den Schwachstellen handelt es sich um CVE-2026-109618 und CVE-2026-109619. Beide haben im Common Vulnerability Scoring System (CVSS), das den technischen Schweregrad von Sicherheitslücken bewertet, einen Wert von 9,2. CVE-2026-109618 betrifft out-of-memory corruption: Eine fehlerhafte Behandlung von erschöpftem Speicher kann dabei interne Daten des Programms beschädigen. CVE-2026-109619 betrifft stale internal request state. Das bedeutet, dass Informationen, die von einer früheren Anfrage übrig geblieben sind, die spätere Verarbeitung unzulässig beeinflussen können. Beide Bedingungen können bei betroffenen Installationen zu remote code execution ohne Authentifizierung führen.
Hinweise auf eine praktische Ausnutzung stammen von honeypots, also absichtlich exponierten Ködersystemen, mit denen Angriffe beobachtet werden. Der für Erkennung und Reaktion zuständige Leiter bei Perplexity bestätigte am 24. Oktober 2026 eine erfolgreiche remote code execution gegen honeypot-Systeme. Die beobachtete Antwort enthielt einen decodierten Cookie-Dump von 800 KiB, also einen Block offengelegter Daten aus dem Prozessspeicher. Eine aus diesem Dump anhand der zusammen mit dem öffentlichen Exploit veröffentlichten Positionen berechnete Funktionsadresse erschien anschließend im folgenden Ausführungs-Payload.
Die Analyse von Perplexity wies zugleich auf eine wichtige Einschränkung dieses Ergebnisses hin. Die demonstrierte Angriffskette verwendete eine absichtlich günstige single-worker mod_php-Konfiguration, bei der PHP als Teil des Apache-Webserverprozesses ausgeführt wird. Der Test untersuchte nicht, wie zuverlässig der Exploit mit einer anderen Anzahl von Workern, anderen PHP-Builds oder anderen Anwendungen funktioniert. Die aktive Ausnutzung ist bestätigt, doch das gemeldete honeypot-Ergebnis sollte nicht als Beleg dafür gelten, dass jede betroffene Konfiguration mit derselben Zuverlässigkeit kompromittiert werden kann.
PHP hat die beiden PHP2Shell-Schwachstellen in den am 21. Oktober 2026 veröffentlichten Versionen 8.5.12, 8.4.27, 8.3.36 und 8.2.35 behoben. CISA setzte US-Bundesbehörden eine Frist bis zum 29. Oktober 2026, um die erforderlichen Korrekturen einzuspielen. Website-Betreiber und Hosting-Teams sollten die von jeder öffentlich erreichbaren Website verwendete PHP-runtime überprüfen, statt sich nur auf die in einem control panel ausgewählte oder von einer Anwendung erwartete Version zu verlassen.
Das mögliche Ausmaß ist groß, weil PHP, kurz für PHP: Hypertext Preprocessor, eine server-side scripting language ist, die von ungefähr 70 % aller Websites verwendet wird. Censys schätzt, dass mehr als 32,51 Millionen PHP-Dienste weiterhin eine betroffene Version verwenden. Diese Zahl beschreibt sichtbare Dienste und keine bestätigten Kompromittierungen, zeigt jedoch, wie viele Installationen möglicherweise noch überprüft und aktualisiert werden müssen.
Der Schweregrad führte zu Sicherheitshinweisen von ABB, Arista Networks, Belden, Broadcom, Canon, Citrix, Craft CMS, Dell, Dormakaba, Drupal, ExpressionEngine, F5, Hikvision, HP, HPE, Hitachi Energy, HMS Networks, Huawei, IBM, Ivanti, Johnson Controls, Mitel, Moxa, NETGEAR, October CMS, Okta, QNAP, Rockwell Automation, Ruckus Wireless, Salesforce, Schneider Electric, Siemens, SonicWall, Splunk, Synology, Veeam, Wibu-Systems und WordPress. Diese Hinweise spiegeln die Bandbreite der Produkte und Software-Ökosysteme wider, die PHP enthalten oder damit interagieren können. Administratoren sollten den Sicherheitshinweis für die jeweils eingesetzte Plattform lesen und nicht davon ausgehen, dass ein Update des content management system allein auch die zugrunde liegende PHP-runtime aktualisiert.
Ein separates Problem betrifft zudem PHP-Windows-Builds. Am 26. Oktober 2026 veröffentlichte die PHP Foundation die Builds 8.5.12-1, 8.4.27-1, 8.3.36-1 und 8.2.35-1, um CVE-2026-111497 zu beheben. Dabei handelt es sich um einen out-of-bounds write in der Brotli decoder-Bibliothek, einer Komponente zum Dekomprimieren von Webinhalten. Die Schwachstelle kann zu privilege escalation führen, bei der Code mehr Zugriffsrechte als vorgesehen erhält, sowie zu unauthenticated remote code execution.
CVE-2026-111497 ist auch als Broccoli2Shell, HTTP2Shell und Node2Shell bekannt. Betroffen sind die Brotli-Versionen 1.0.3 bis 1.0.9 sowie 1.1.0 und 1.2.0. Gepatchte Versionen sind 1.0.10, 1.1.1 und 1.2.1. Korrekturen wurden außerdem in Projekte übernommen, die die betroffene C library enthalten, eine wiederverwendbare Softwarekomponente für native Anwendungen. Dazu gehören Node.js, Bun, Envoy Proxy, Istio, .NET und Python.
Nach Angaben der PHP Foundation kann der anfällige decoder in PHP-Windows-Builds über die cURL extension erreicht werden, die Anwendungen für Webanfragen verwenden, wenn die automatische Dekomprimierung von HTTP-Antworten aktiviert ist. Dieses Verhalten ist in cURL standardmäßig deaktiviert, kann jedoch von Anwendungen und HTTP-client libraries eingeschaltet werden. Windows-Administratoren benötigen daher den korrigierten PHP-Build auch dann, wenn sie Brotli nicht wissentlich als separate Komponente installiert haben.
Für Betreiber von WordPress-Websites, die prüfen, wo die Verantwortung für die Hosting-Umgebung liegt, bietet AEU Hosting vollständig verwaltetes und durchgängig abgesichertes WordPress-Hosting an. Unabhängig von der Plattform besteht die unmittelbar wichtigste Aufgabe darin, betroffene PHP-Installationen zu identifizieren, sie auf eine korrigierte Version zu aktualisieren und zu bestätigen, dass jede öffentlich erreichbare Website tatsächlich die aktualisierte runtime verwendet.