Beweise vor Änderungen sichern
Entdeckungszeit, Domain, Instanz, Laufzeit, Symptome und letzten vertrauenswürdigen Zustand notieren. Originale Zugriffs-, Fehler-, WAF- und Prozesslogs samt Zeitzone sowie Cloud-Auditdaten und autorisierte Snapshots sichern. Kopien beschränken und hashen. Keine Tokens oder Kundendaten an öffentliche Scanner senden. Logs und verdächtige Dateien vor Sicherung nicht löschen.
Bestätigten oder stark vermuteten Einbruch eindämmen
Bei aktiver Gefahr öffentlichen Zugriff beschränken oder Instanzen aus dem Loadbalancer nehmen und notwendige Beweise erhalten. Hoster oder Incident-Team einbeziehen. Alle PHP-Laufzeiten erfassen, beide CVEs patchen, Worker ersetzen und benachbarte Systeme prüfen. WAF und Zwischenmaßnahmen entfernen weder bestehende Zugänge noch gestohlene Schlüssel oder Persistenz. Eindämmung nicht aufschieben.
Vertrauenswürdig wiederherstellen und prüfen
Bei bestätigtem Einbruch aus geprüften Images neu aufbauen und verifizierte Daten wiederherstellen, nicht bloß eine Webshell löschen. Fremde Konten und Persistenz entfernen, betroffene Geheimnisse von einem sauberen Gerät wechseln und Sitzungen nach Eindämmung ungültig machen. Web-Laufzeit, Replikate und Funktion prüfen, Verbindungen überwachen und Meldepflichten mit dem Team klären.
Primärquellen & weiterführende Informationen
PHP security teamOriginal lesen ↗CVE-2026-109618Original lesen ↗CVE-2026-109619Original lesen ↗Forschung & Praxisanleitungen
PHP2Shell-Werkzeuge
Öffentliche Websites prüfen, lokale Konfigurationen und Logs untersuchen oder Open-Source-Werkzeuge finden. Jedes Ergebnis nennt Belege und Grenzen.
01PHP2Shell einfach erklärt
PHP ist die Laufzeit hinter WordPress, Laravel und Plugins. Ein Plugin-Update aktualisiert PHP nicht. Zwei Speicherfehler können bei fehlerhafter Request-Bereinigung Daten offenlegen oder Code ausführen. Eine öffentliche Prüfung liefert nur Hinweise; die tatsächliche Web-Laufzeit und den Patch muss der Administrator bestätigen.
02Angriffsversuch oder erfolgreicher Einbruch?
Auffällige Multipart-Anfragen oder WAF-Alarme können Versuche anzeigen. OOM, SIGSEGV/SIGABRT und HTTP-500-Spitzen haben auch harmlose Ursachen. Unerwartete PHP-Kindprozesse, Verbindungen, Dateiänderungen oder Konten dringend untersuchen. Speicherlecks müssen keine Webshell oder Datei hinterlassen; ein sauberer Dateiscan schließt sie nicht aus.
03Beweise vor Änderungen sichern
Entdeckungszeit, Domain, Instanz, Laufzeit, Symptome und letzten vertrauenswürdigen Zustand notieren. Originale Zugriffs-, Fehler-, WAF- und Prozesslogs samt Zeitzone sowie Cloud-Auditdaten und autorisierte Snapshots sichern. Kopien beschränken und hashen. Keine Tokens oder Kundendaten an öffentliche Scanner senden. Logs und verdächtige Dateien vor Sicherung nicht löschen.
04Wiz und Calif richtig einordnen
Die Forschung erklärt Fehler über Request-Grenzen hinweg. GHSA zu CVE-2026-109618 bestätigt mod_php-RCE; FPM-Anfälligkeit beruht auf Quellanalyse ohne vollständigen FPM-Exploit für diese CVE. CVE-2026-109619 bestätigt separat einen anwendungsabhängigen FPM-Upload-Progress-Pfad. Belege je SAPI anhand der jeweiligen offiziellen Advisory unterscheiden.
05Cloudflare: Auch die Antwort zählt
Cloudflare beschreibt Transaktionserkennung aus Anfrage und Origin-Antwort, die passende Antworten vor möglichem Datenabfluss blockiert. Das ist auch ohne Shell-Start relevant. Historische Rollout-Zeiten garantieren keinen Schutz Ihres Kontos. Regeln, Routing, Ausnahmen und Ereignisse prüfen. Direkte Origin-Zugänge und nicht proxied Hosts bleiben zu patchen.