Kritische PHP-Sicherheitslücken (CVE-2026-109618 & CVE-2026-109619) – „PHP2Shell"

Das PHP-Projekt hat am 20. Oktober 2026 ein außerplanmäßiges Sicherheits-Release angekündigt. Es behebt zwei kritische Schwachstellen, die beide mit dem sehr hohen Wert CVSS v4.0 9.2 bewertet sind. In Sicherheitskreisen laufen die Lücken unter dem Namen „PHP2Shell" und den Kennungen CVE-2026-109618 und CVE-2026-109619.

Worum geht es?

Nach Angaben von Sicherheitsforschern (u. a. Sansec und watchTowr) handelt es sich um zwei Remote-Code-Execution-Schwachstellen (RCE) direkt im PHP-Kern: Angreifer könnten ohne Anmeldung eigenen Programmcode auf dem Server ausführen. Der Angriff setzt bereits bei der Verarbeitung eingehender Web-Anfragen an (berichtet wird ein Zusammenhang mit multipart/form-data-Anfragen) – also noch bevor die eigentliche Anwendung greift. Die genauen technischen Details sowie die offiziell betroffenen und die korrigierten Versionen veröffentlicht das PHP-Team mit dem Release.

Wer ist betroffen?

Betroffen sind nach bisherigem Stand praktisch alle Webserver, auf denen PHP läuft. Forscher nennen alle Versionen ab PHP 5.4 – das ist offiziell noch nicht bestätigt. Offiziell gepflegt werden derzeit nur PHP 8.2 und neuer; für ältere Versionen wird es voraussichtlich keinen offiziellen Fix geben (Upgrade bzw. Backport über den Hoster nötig).

Die Lage ist akut: Erste Angriffsversuche wurden bereits am 21. Oktober 2026 beobachtet; mit breiter Ausnutzung ist unmittelbar nach Veröffentlichung zu rechnen.

Was ist zu tun?

• PHP sofort aktualisieren, sobald die korrigierte Version Ihres PHP-Zweigs verfügbar ist – das ist die einzige verlässliche Absicherung.
• Die offizielle Meldung auf php.net im Auge behalten (geplantes Release: 21. Oktober 2026, 14:00 UTC).
• Überbrückend (kein garantierter Schutz, nur bis der Patch eingespielt ist): eine Web Application Firewall bzw. Dienste wie Cloudflare vorschalten, nicht benötigte Datei-Uploads einschränken und besonders exponierte Systeme vorübergehend restriktiver stellen.

C1.IT Solutions für Sie

Wir beobachten die offizielle Veröffentlichung und spielen den Patch auf den von uns betreuten Systemen umgehend ein, sobald er verfügbar ist. Sie betreiben eigene Server oder sind unsicher, ob Sie betroffen sind? Kontaktieren Sie uns – wir prüfen und aktualisieren Ihre Umgebung.

Quellen: PHP-Projekt (php.net), Sansec, watchTowr. Stand: 21. Oktober 2026. Angaben zu CVE-Kennungen, betroffenen Versionen und Angriffsweg beruhen teils auf Forscherberichten und werden mit dem offiziellen PHP-Release final bestätigt.