Forschung & Praxisanleitungen

Wiz und Calif richtig einordnen

Die Forschung erklärt Fehler über Request-Grenzen hinweg. GHSA zu CVE-2026-109618 bestätigt mod_php-RCE; FPM-Anfälligkeit beruht auf Quellanalyse ohne vollständigen FPM-Exploit für diese CVE. CVE-2026-109619 bestätigt separat einen anwendungsabhängigen FPM-Upload-Progress-Pfad. Belege je SAPI anhand der jeweiligen offiziellen Advisory unterscheiden.

Wiz ResearchOriginal lesen ↗CalifOriginal lesen ↗

Upgrade als Deployment-Checkliste

Erste Upstream-Fixes: 8.2.35, 8.3.36, 8.4.27, 8.5.12. Für 7.4, 8.0 und 8.1 gibt es außergewöhnliche minimale Quellbackports, keine regulär unterstützten Releases. Anbieterpakete gegen BEIDE CVEs und vollständige Revision prüfen. Images neu bauen, alle Replikate ersetzen und Dauerprozesse neu starten. CLI-Prüfung oder Neustart desselben Images genügt nicht.

Vier Zweige. Klare Update-Ziele.
PHP-Zweig	Upstream-Versionen unter	Erste korrigierte Version	Ende der Sicherheitsupdates
PHP 8.5	`< 8.5.12`	✓ 8.5.12	31. Dez. 2029
PHP 8.4	`< 8.4.27`	✓ 8.4.27	31. Dez. 2028
PHP 8.3	`< 8.3.36`	✓ 8.3.36	31. Dez. 2027
PHP 8.2	`< 8.2.35`	✓ 8.2.35	31. Dez. 2026

Noch PHP 8.1 oder älter?

Für diese Zweige gibt es keine reguläre PHP-Veröffentlichung. Minimale Quellcode-Backports existieren für 7.4, 8.0 und 8.1. Herstellerunterstützung separat prüfen. Anleitung lesen ↗

PHP2Shell - upgrade PHPOriginal lesen ↗

PHP Foundation und OpenAI lesen

Die Foundation beschreibt Wartungsaufwand und Ressourcen; Patch the Planet beschreibt Validierung und koordinierte Offenlegung. Das beweist keinen Patch bei Ihrem Hoster. Verantwortliche, Inventar, Paketrevision, Neustartnachweis und Nachprüfung festhalten. Bei abweichenden Angaben zu FPM und Altversionen haben PHP-GHSA und konkrete Anbieterhinweise Vorrang.

PHP FoundationOriginal lesen ↗OpenAI - Patch the PlanetOriginal lesen ↗

Befehlsbeispiel

php -v
php --ini
# Check the executable used by the Web service separately.
php-fpm -v
# On versioned installations, for example:
php-fpm8.3 -v

Primärquellen & weiterführende Informationen

PHP security teamOriginal lesen ↗CVE-2026-109618Original lesen ↗CVE-2026-109619Original lesen ↗

PHP2Shell-Werkzeuge

Öffentliche Websites prüfen, lokale Konfigurationen und Logs untersuchen oder Open-Source-Werkzeuge finden. Jedes Ergebnis nennt Belege und Grenzen.

PHP2Shell einfach erklärt

PHP ist die Laufzeit hinter WordPress, Laravel und Plugins. Ein Plugin-Update aktualisiert PHP nicht. Zwei Speicherfehler können bei fehlerhafter Request-Bereinigung Daten offenlegen oder Code ausführen. Eine öffentliche Prüfung liefert nur Hinweise; die tatsächliche Web-Laufzeit und den Patch muss der Administrator bestätigen.

Angriffsversuch oder erfolgreicher Einbruch?

Auffällige Multipart-Anfragen oder WAF-Alarme können Versuche anzeigen. OOM, SIGSEGV/SIGABRT und HTTP-500-Spitzen haben auch harmlose Ursachen. Unerwartete PHP-Kindprozesse, Verbindungen, Dateiänderungen oder Konten dringend untersuchen. Speicherlecks müssen keine Webshell oder Datei hinterlassen; ein sauberer Dateiscan schließt sie nicht aus.

Beweise vor Änderungen sichern

Entdeckungszeit, Domain, Instanz, Laufzeit, Symptome und letzten vertrauenswürdigen Zustand notieren. Originale Zugriffs-, Fehler-, WAF- und Prozesslogs samt Zeitzone sowie Cloud-Auditdaten und autorisierte Snapshots sichern. Kopien beschränken und hashen. Keine Tokens oder Kundendaten an öffentliche Scanner senden. Logs und verdächtige Dateien vor Sicherung nicht löschen.

Wiz und Calif richtig einordnen

Cloudflare: Auch die Antwort zählt

Cloudflare beschreibt Transaktionserkennung aus Anfrage und Origin-Antwort, die passende Antworten vor möglichem Datenabfluss blockiert. Das ist auch ohne Shell-Start relevant. Historische Rollout-Zeiten garantieren keinen Schutz Ihres Kontos. Regeln, Routing, Ausnahmen und Ereignisse prüfen. Direkte Origin-Zugänge und nicht proxied Hosts bleiben zu patchen.