Was ist PHP2Shell?
PHP2Shell umfasst die Speicherfehler CVE-2026-109618 und CVE-2026-109619 in PHP selbst, beide mit CVSS v4.0 9,2. Nachgewiesen wurden nicht authentifizierte Codeausführung und Speicherpreisgabe. PHP veröffentlichte am 21. Oktober 2026 Korrekturen. Betroffen ist der Interpreter, nicht nur ein bestimmtes CMS.
Welche Installationen prüfen?
PHP empfiehlt Updates für alle Web-Installationen: FPM, mod_php, php-cgi, FrankenPHP und LiteSpeed. WordPress, Drupal, Joomla, MediaWiki, Laravel und eigene Anwendungen nutzen denselben Interpreter. Erfassen Sie auch Verwaltungsoberflächen, Testsysteme, eingebettete Produkte und Container. Ein Anwendungsupdate ersetzt PHP nicht.
Ist FPM ausgenommen?
Nein. FPM beendet einen Kindprozess bei fehlgeschlagenem Anfrage-Start und verhindert damit bestimmte Startsequenzen. Anwendungs- und anfrageübergreifende Pfade bleiben möglich. Die mod_php-Demonstration belegt nicht identische Ausnutzbarkeit jeder Umgebung; FPM ist aber auch kein Ersatz für ein Update.
PHP 8.1 und älter
Keine regulären PHP-Projektupdates. Ausnahmsweise gibt es minimale Quellcode-Backports für 7.4, 8.0 und 8.1; Bau und Validierung liegen beim Betreiber. OS- oder LTS-Anbieter können Pakete pflegen. Forschung erfasst Versionen ab 5.4 mit unterschiedlichen Voraussetzungen. Migrieren Sie und belegen Sie Zwischenlösungen.
PHP2Shell einfach erklärt
PHP ist die Laufzeit hinter WordPress, Laravel und Plugins. Ein Plugin-Update aktualisiert PHP nicht. Zwei Speicherfehler können bei fehlerhafter Request-Bereinigung Daten offenlegen oder Code ausführen. Eine öffentliche Prüfung liefert nur Hinweise; die tatsächliche Web-Laufzeit und den Patch muss der Administrator bestätigen.
PHP2Shell-Werkzeuge →Belege nach PHP-Laufzeit
| Laufzeit | CVE-2026-109618 ↗ | CVE-2026-109619 ↗ |
|---|---|---|
| Apache mod_php | RCE demonstriert | RCE demonstriert |
| PHP-FPM | Anwendungsabhängige Gefährdung; kein vollständiger FPM-Exploit für diese CVE demonstriert | RCE über einen geeigneten Anwendungspfad demonstriert |
Auch php-cgi, FrankenPHP und LiteSpeed aktualisieren. PHP empfiehlt Updates für alle Web-Installationen. Die Tabelle trennt demonstrierte Pfade von allgemeiner Gefährdung.