Was für eine Aufregung im WWW rund um die beiden Sicherheitslücken. Über die beiden Sicherheitslücken CVE-2026-109618 sowie CVE-2026-109619. Auch bekannt als PHP2Shell Sicherheitslücke. Viele Betreiber von Servern hatten aus Sicherheitsgeründen die Server abgeschaltet, bis der Fix vorhanden war. Gefühlt war das halbe Internet offline. 😂

In einer Vorab-Ankündigung informieren die Entwickler von PHP aktuell über die Veröffentlichung eines Notfallpatches zu den beiden Schwachstellen in der Programmiersprache am 21. Oktober 2026 ab 16 Uhr.

Bekannt wurde die Lücke am 20.10.2026.

Obwohl zum aktuellen Zeitpunkt nur wenige Details verfügbar sind, legen die Bewertungen nach CVSS (Common Vulnerability Scoring System; Version 4.0) mit 9.2 von 10! 😳 Deswegen hatte heute auch das Bundesamt für Sicherheit in der Informationstechnik (BSI) in einem Infodokument darüber informiert.

Was macht PHP2Shell so gefährlich?

Angreifer können unter bestimmten Voraussetzungen eine manipulierte HTTP-Anfrage an einen Webserver schicken. Dabei werden Fehler in der Speicherverwaltung von PHP ausgenutzt.

Das Gefährliche daran: PHP verarbeitet die schädliche Anfrage teilweise schon, bevor der eigentliche Anwendungscode ausgeführt wird.

Ein Angreifer benötigt also weder ein Benutzerkonto noch ein Passwort oder die Mithilfe eines Besuchers.

Im schlimmsten Fall kann er dadurch:

  • Beliebigen Programmcode auf dem Server ausführen.

  • Auf Datenbanken und vertrauliche Dateien zugreifen, soweit die PHP-Prozessrechte das erlauben.

  • Webseiten manipulieren oder Schadsoftware installieren.

Kurz vor 16 Uhr konnte ich bereits auf meinem Server das Update auf die begebene PHP 8.4.27 Updaten. Heue Abend war dann auch ein Patch für Mailcow vorhanden.

Desweiteren haben die Versionen 8.5.27, 8.3.36 sowie 8.2.35 die Lücke geschlossen.

Nun gekehrt wieder Ruhe ein, bis die nächste Sicherheitslücke auftaucht.