PHP hat zwei kritische Sicherheitslücken unter dem Namen PHP2Shell geschlossen. Die Schwachstellen CVE-2026-109618 und CVE-2026-109619 erreichen einen CVSS-Wert von 9,2 und ermöglichen Remote-Code-Ausführung ohne Authentifizierung. Eine Ausführung wurde unter Apache mit mod_php bestätigt.
Betroffen sind unter anderem PHP-FPM, Apache mit mod_php, php-cgi, FrankenPHP und LiteSpeed. Die Fehler stecken in der Speicherverwaltung und Fehlerbehandlung und reichen laut dem Bericht bis zu PHP 5.4 zurück. Angreifer können unter Umständen auch Prozessspeicher mit Zugangsdaten, API-Schlüsseln und anderen Geheimnissen auslesen.
Die PHP Foundation hat die behobenen Versionen 8.5.12, 8.4.27, 8.3.36 und 8.2.35 veröffentlicht. Außerdem gibt es minimale Quellcode-Backports für PHP 7.4, 8.0 und 8.1. WatchTowr, Hadrian, Patchstack, Cloudflare und Vega meldeten bereits Exploit-Versuche; Hadrian beobachtete Angriffe nach eigenen Angaben in größerem Umfang.
Die Sicherheitslücken wurden ursprünglich von Wiz, OpenAI und Calif untersucht. Nach dem Leak von Informationen und einem versehentlich veröffentlichten Proof of Concept zog die PHP Foundation die Veröffentlichung der Patches vor. Betreiber sollten ihre PHP-Installationen umgehend aktualisieren und prüfen, ob exponierte Systeme vor dem Patch-Zeitpunkt erreicht wurden.
Quelle: https://www.securityweek.com/php2shell-patches-land-as-first-exploitation-attempts-hit-sensors/