PHP2Shell zwingt praktisch jeden Webserver zum Update: zwei unauthentifizierte RCE-Lücken (CVSS 9,2) in PHP ab Version 5
Die Schattenseiten der Entwicklung

PHP2Shell zwingt praktisch jeden Webserver zum Update: zwei unauthentifizierte RCE-Lücken (CVSS 9,2) in PHP ab Version 5.4, Notfall-Patches am 21. Oktober — gefunden mit GPT-5.6 Sol nach zwei Monaten koordinierter Offenlegung

2 Min. Lesezeit Kalina

PHP2Shell zwingt praktisch jeden Webserver zum Update: zwei unauthentifizierte RCE-Lücken (CVSS 9,2) in PHP ab Version 5.4, Notfall-Patches am 21. Oktober — gefunden mit GPT-5.6 Sol nach zwei Monaten koordinierter Offenlegung — CVE-2026-109618 unterbricht via Out-of-Memory mitten im Request-Setup, der anschließende Aufräumlauf behandelt den halb initiierten Zustand als gültig; CVE-2026-109619 lässt Request-Zustand nach der Freigabe überleben, der nächste Request auf demselben Worker liest oder verzweigt in freigegebenen Speicher — beides endet in Code-Ausführung mit Webworker-Rechten, ohne Login, auf PHP-FPM, Apache mit mod_php, php-cgi, FrankenPHP und LiteSpeed; betroffen sind alle Versionen von 5.4 bis 8.5.11, gepatcht werden 8.5.12, 8.4.27, 8.3.36 und 8.2.35, für das nicht mehr unterstützte 7.4, 8.0 und 8.1 gibt es Quellpatches ohne offizielle Binaries; die Lücken können auch ohne Code-Ausführung Speicher auslesen — Passwörter, Tokens, API-Keys; in der zwei Monate reichenden Koordination arbeiteten PHP-Maintainer, OpenAI, Wiz, Cloudflare und US-Behörden (CISA, ONCD) mit Distributionen und Cloud-Anbietern zusammen; behelfsweise: memory_limit, kleines post_max_size, session.upload_progress.enabled=0, auf PHP 8.5 fatal_error_backtraces=0. BleepingComputer · ma.ttias.be · 🗃 Wayback Machine (Archiv)

ℹ️ KI-Hinweis
Die Inhalte dieses Artikels wurden automatisiert mittels Künstlicher Intelligenz generiert. Die zugrundeliegenden Daten stammen von bleepingcomputer.com. Es erfolgte keine manuelle redaktionelle Bearbeitung.

Einordnung in die Rubrik Die Schattenseiten der Entwicklung

Dieser Beitrag erfüllt ein Kriterium der Rubrik. Belegt ist das durch:

  • Sicherheitsvorfall in der Zusammenfassung — „Oktober — gefunden mit GPT-5.6 Sol nach zwei Monaten koordinierter Offenlegung — CVE-2026-109618 unterbricht via Out-of-Memory mitten im Request-Setup, der anschließende Aufräumlauf behandelt den halb initiierten Zustand als gültig; CVE-2026-109619 lässt Request-Zustand nach der Freigabe […]“

Kriterien der Rubrik — Sicherheitsvorfall: Angriff, Datenleck, Schwachstelle oder Erpressung. Die Rubrik steht zusätzlich zur Themenspalte: der Beitrag bleibt in seinem Ressort.

Quellen dieses Beitrags: Wayback Machine

Querverweise — andere Meldungen der Rubrik aus demselben Zeitraum oder von derselben Quelle:

Mehr aus Die Schattenseiten der Entwicklung