PHP2Shell zwingt praktisch jeden Webserver zum Update: zwei unauthentifizierte RCE-Lücken (CVSS 9,2) in PHP ab Version 5.4, Notfall-Patches am 21. Oktober — gefunden mit GPT-5.6 Sol nach zwei Monaten koordinierter Offenlegung — CVE-2026-109618 unterbricht via Out-of-Memory mitten im Request-Setup, der anschließende Aufräumlauf behandelt den halb initiierten Zustand als gültig; CVE-2026-109619 lässt Request-Zustand nach der Freigabe überleben, der nächste Request auf demselben Worker liest oder verzweigt in freigegebenen Speicher — beides endet in Code-Ausführung mit Webworker-Rechten, ohne Login, auf PHP-FPM, Apache mit mod_php, php-cgi, FrankenPHP und LiteSpeed; betroffen sind alle Versionen von 5.4 bis 8.5.11, gepatcht werden 8.5.12, 8.4.27, 8.3.36 und 8.2.35, für das nicht mehr unterstützte 7.4, 8.0 und 8.1 gibt es Quellpatches ohne offizielle Binaries; die Lücken können auch ohne Code-Ausführung Speicher auslesen — Passwörter, Tokens, API-Keys; in der zwei Monate reichenden Koordination arbeiteten PHP-Maintainer, OpenAI, Wiz, Cloudflare und US-Behörden (CISA, ONCD) mit Distributionen und Cloud-Anbietern zusammen; behelfsweise: memory_limit, kleines post_max_size, session.upload_progress.enabled=0, auf PHP 8.5 fatal_error_backtraces=0. BleepingComputer · ma.ttias.be · 🗃 Wayback Machine (Archiv)
Die Inhalte dieses Artikels wurden automatisiert mittels Künstlicher Intelligenz generiert. Die zugrundeliegenden Daten stammen von bleepingcomputer.com. Es erfolgte keine manuelle redaktionelle Bearbeitung.
