PHP2Shell einfach erklärt
PHP ist die Laufzeit hinter WordPress, Laravel und Plugins. Ein Plugin-Update aktualisiert PHP nicht. Zwei Speicherfehler können bei fehlerhafter Request-Bereinigung Daten offenlegen oder Code ausführen. Eine öffentliche Prüfung liefert nur Hinweise; die tatsächliche Web-Laufzeit und den Patch muss der Administrator bestätigen.
Die tatsächliche PHP-Version finden
WordPress: Werkzeuge > Website-Zustand > Bericht > Server. Im Hostingpanel die konkrete Domain und ihren PHP-Handler prüfen, nicht den Standardwert. Mit SSH php -v mit dem zuständigen FPM-/Apache-Dienst oder Container vergleichen. Websites, CLI-Aufgaben und Replikate können unterschiedliche Versionen verwenden. Keine phpinfo-Seite veröffentlichen.
Version prüfen →Nachricht an den Hoster
Bitte bestätigen Sie die Behebung von CVE-2026-109618 UND CVE-2026-109619 in der Web-Laufzeit meiner Domain. Benötigt werden vollständige Paket-/Buildrevision, Anbieterhinweis oder Changelog sowie der Neustart beziehungsweise Austausch aller FPM-/Apache-Worker, Containerreplikate und Dauerprozesse. Können Sie vorhandene Zugriffs-, PHP- und Prozesslogs auf Auffälligkeiten prüfen?Primärquellen & weiterführende Informationen
PHP security teamOriginal lesen ↗CVE-2026-109618Original lesen ↗CVE-2026-109619Original lesen ↗php2shell.ukOriginal lesen ↗Forschung & Praxisanleitungen
PHP2Shell-Werkzeuge
Öffentliche Websites prüfen, lokale Konfigurationen und Logs untersuchen oder Open-Source-Werkzeuge finden. Jedes Ergebnis nennt Belege und Grenzen.
01PHP2Shell einfach erklärt
PHP ist die Laufzeit hinter WordPress, Laravel und Plugins. Ein Plugin-Update aktualisiert PHP nicht. Zwei Speicherfehler können bei fehlerhafter Request-Bereinigung Daten offenlegen oder Code ausführen. Eine öffentliche Prüfung liefert nur Hinweise; die tatsächliche Web-Laufzeit und den Patch muss der Administrator bestätigen.
02Angriffsversuch oder erfolgreicher Einbruch?
Auffällige Multipart-Anfragen oder WAF-Alarme können Versuche anzeigen. OOM, SIGSEGV/SIGABRT und HTTP-500-Spitzen haben auch harmlose Ursachen. Unerwartete PHP-Kindprozesse, Verbindungen, Dateiänderungen oder Konten dringend untersuchen. Speicherlecks müssen keine Webshell oder Datei hinterlassen; ein sauberer Dateiscan schließt sie nicht aus.
03Beweise vor Änderungen sichern
Entdeckungszeit, Domain, Instanz, Laufzeit, Symptome und letzten vertrauenswürdigen Zustand notieren. Originale Zugriffs-, Fehler-, WAF- und Prozesslogs samt Zeitzone sowie Cloud-Auditdaten und autorisierte Snapshots sichern. Kopien beschränken und hashen. Keine Tokens oder Kundendaten an öffentliche Scanner senden. Logs und verdächtige Dateien vor Sicherung nicht löschen.
04Wiz und Calif richtig einordnen
Die Forschung erklärt Fehler über Request-Grenzen hinweg. GHSA zu CVE-2026-109618 bestätigt mod_php-RCE; FPM-Anfälligkeit beruht auf Quellanalyse ohne vollständigen FPM-Exploit für diese CVE. CVE-2026-109619 bestätigt separat einen anwendungsabhängigen FPM-Upload-Progress-Pfad. Belege je SAPI anhand der jeweiligen offiziellen Advisory unterscheiden.
05Cloudflare: Auch die Antwort zählt
Cloudflare beschreibt Transaktionserkennung aus Anfrage und Origin-Antwort, die passende Antworten vor möglichem Datenabfluss blockiert. Das ist auch ohne Shell-Start relevant. Historische Rollout-Zeiten garantieren keinen Schutz Ihres Kontos. Regeln, Routing, Ausnahmen und Ereignisse prüfen. Direkte Origin-Zugänge und nicht proxied Hosts bleiben zu patchen.