{"data":{"case":{"actions":{"de":["Aktualisiere PHP auf **8.5.12, 8.4.27, 8.3.36 oder 8.2.35** oder neuer, je nach Zweig.","Starte Apache, PHP-FPM und alle dauerhaft laufenden PHP-Prozesse neu, damit die alte Version nicht mehr im Speicher ist.","Mit PHP 8.1 oder älter: Wechsle auf einen unterstützten Zweig, für diese Versionen gibt es keine offizielle Version mit dem Fix.","Mit einem Hosting-Paket: Frag deinen Hoster, ob das Update installiert ist, und vergleiche deine PHP-Version mit der Tabelle auf dieser Seite."],"en":["Update PHP to **8.5.12, 8.4.27, 8.3.36 or 8.2.35**, or newer, depending on your branch.","Restart Apache, PHP-FPM and every long-running PHP worker, so that the old version is no longer in memory.","On PHP 8.1 or older, move to a supported branch: there is no official release for these versions.","With a hosting plan, ask your host whether the update is installed, and compare your PHP version with the table on this page."]},"affected_from":"5.4","backports":["7.4","8.0","8.1"],"criteria":{"damage":{"de":"Bisher ist kein Schaden gemeldet.","en":"No damage has been reported so far.","met":false},"exploitation":{"de":"Am 23. Oktober 2026 waren keine Angriffe bekannt; die CISA stufte die Ausnutzung als „keine“ ein.","en":"No attacks in the wild were known on October 23, 2026; CISA rated exploitation as “none”.","met":false},"reach":{"de":"PHP läuft auf 69,3 % aller Websites, deren Serversprache bekannt ist (W3Techs, 23. Oktober 2026).","en":"PHP runs on 69.3 % of all websites whose server language is known (W3Techs, October 23, 2026).","met":true},"response":{"de":"Updates für vier PHP-Zweige zugleich, Quellcode-Patches für drei nicht mehr unterstützte Zweige und Schutzregeln, vorbereitet mit Google, AWS, Microsoft, Cloudflare und weiteren.","en":"Fixed releases for four PHP branches at once, source patches for three branches that are no longer supported, and protection rules prepared with Google, AWS, Microsoft, Cloudflare, and others.","met":true}},"cves":["CVE-2026-109618","CVE-2026-109619"],"cvss":9.8,"cvss_version":"3.1","cwe":"CWE-416, CWE-755, CWE-824, CWE-1325","dates":[{"date":"2026-08-11","key":"reported"},{"date":"2026-08-24","de":"Wiz Research meldet unabhängig davon weitere Fehler","en":"Wiz Research reports further bugs, independently"},{"date":"2026-09-18","de":"OpenAI meldet weitere Angriffswege","en":"OpenAI reports further attack paths"},{"date":"2026-10-20","de":"Die CVE-Nummern werden vorab bekannt, mit falschem Wert 10,0","en":"The CVE numbers leak online, with a wrong score of 10.0"},{"date":"2026-10-21","key":"patched"}],"de":{"credit":"Calif, Wiz Research und OpenAI, unabhängig voneinander","fixed":"PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35 (21. Oktober 2026)","product":"PHP, die Sprache hinter den meisten Websites","summary":"Zwei Fehler in PHP selbst erlauben Angreifern, Webserver ohne Passwort zu übernehmen, bei WordPress, Drupal, Joomla und vielen anderen Anwendungen."},"disclosed":"2026-10-21","en":{"credit":"Calif, Wiz Research and OpenAI, independently of each other","fixed":"PHP 8.5.12, 8.4.27, 8.3.36 and 8.2.35 (October 21, 2026)","product":"PHP, the language behind most websites","summary":"Two flaws in PHP itself let attackers take over web servers without a password, on WordPress, Drupal, Joomla and many other applications."},"figures":[{"de":"der Websites mit bekannter Serversprache laufen mit PHP","en":"of websites with a known server language run on PHP","value":"69.3 %"},{"de":"Anwendungen übernahmen die Entdecker, darunter WordPress","en":"applications taken over by the finders, WordPress among them","value":"11"}],"fixed_versions":[{"branch":"8.5","version":"8.5.12"},{"branch":"8.4","version":"8.4.27"},{"branch":"8.3","version":"8.3.36"},{"branch":"8.2","version":"8.2.35"}],"key":"php2shell","name":"PHP2Shell","product":"PHP","sources":[{"de":"PHP-Projekt: Sicherheits-Updates vom 21. Oktober 2026","title":"PHP project: security releases of October 21, 2026","url":"https://www.php.net/archive/2026.php"},{"de":"PHP Foundation: das Sicherheits-Update von heute","title":"PHP Foundation: today's PHP security release","url":"https://thephp.foundation/blog/2026/10/21/todays-php-security-release-and-how-were-strengthening-php-security/"},{"de":"Calif: Analyse und Zeitleiste zu PHP2Shell","title":"Calif: PHP2Shell research and timeline","url":"https://calif.io/php2shell/"},{"de":"Wiz Research: PHP2Shell","title":"Wiz Research: PHP2Shell","url":"https://www.wiz.io/blog/php2shell-php-rce"},{"de":"Gemeinsame Seite der Entdecker, mit Demo-Videos","title":"The finders' joint page, with demonstration videos","url":"https://www.php2shell.com/"},{"de":"Sicherheitshinweis des PHP-Projekts zu CVE-2026-109618","title":"PHP security advisory for CVE-2026-109618","url":"https://github.com/php/php-src/security/advisories/GHSA-w8hw-w9fx-j79w"},{"de":"Sicherheitshinweis des PHP-Projekts zu CVE-2026-109619","title":"PHP security advisory for CVE-2026-109619","url":"https://github.com/php/php-src/security/advisories/GHSA-6wmf-4rv5-p3rp"},{"de":"NVD: CVE-2026-109618","title":"NVD: CVE-2026-109618","url":"https://nvd.nist.gov/vuln/detail/CVE-2026-109618"},{"de":"CVE-Eintrag CVE-2026-109619, mit Einschätzung der CISA","title":"CVE record CVE-2026-109619, with CISA's assessment","url":"https://www.cve.org/CVERecord?id=CVE-2026-109619"},{"de":"W3Techs: Nutzungsstatistik von PHP","title":"W3Techs: usage statistics of PHP","url":"https://w3techs.com/technologies/details/pl-php"},{"de":"OpenAI: Patch the Planet, das Programm, in dem Calif PHP prüfte","title":"OpenAI: Patch the Planet, the program under which Calif audited PHP","url":"https://openai.com/index/patch-the-planet/"}],"vector":"CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H","year":2026}},"description":"Zwei Sicherheitslücken in PHP selbst ermöglichen es Angreifern, Webserver ohne Passwort zu übernehmen. Die korrigierten PHP-Versionen, die betroffenen Anwendungen und was jetzt zu tun ist.","language":"de","latest_measurement":"2026-10-23","method":"latency-v3","method_page":"https://crackthe.net/de/methode/","source":"https://crackthe.net/","text":"Am 21. Oktober 2026 hat das PHP-Projekt zwei Sicherheitslücken in der Sprache selbst behoben. Mit einer einzigen präparierten Anfrage kann ein Angreifer einen Webserver übernehmen, noch bevor der Code einer Website ausgeführt wird und ohne Passwort. PHP läuft auf 69,3 % aller Websites, deren Serversprache bekannt ist – von kleinen Blogs bis zu großen Online-Shops.\nOb eine Website betroffen ist, hängt von der PHP-Version ihres Servers ab, nicht von der Version von WordPress, Joomla oder einer anderen Anwendung. Du findest sie im Kundenmenü deines Hosters und in den Systeminformationen der meisten Anwendungen (siehe die Tabelle der Anwendungen unten); auf dem Server selbst gibt der Befehl php -v sie aus.\nKorrigierte PHP-Versionen Korrigierte Versionen je Zweig ZweigStatus PHP 8.5behoben ab 8.5.12 PHP 8.4behoben ab 8.4.27 PHP 8.3behoben ab 8.3.36 PHP 8.2behoben ab 8.2.35 PHP 7.4, 8.0, 8.1betroffen; keine offizielle Version, nur Quellcode-Patches des PHP-Teams PHP 5.4 – 7.3betroffen; kein Fix PHP-Anwendungen: was sie brauchen und wo sie deine PHP-Version anzeigen 61 verbreitete Anwendungen, die mit PHP laufen. Jede ist nur über die PHP-Version des Servers betroffen, auf dem sie läuft. 7 davon tragen ein Warnzeichen: Eine noch gepflegte Version läuft nur mit PHP ohne Fix, oder der Hersteller liefert das korrigierte PHP noch nicht aus.\nFinde deine Anwendung Anwendung Benötigtes PHP Wo sie die PHP-Version anzeigt Übernahme von den Entdeckern gezeigt Adminer Verwaltung Version 6.1: PHP 5.3 oder neuerEine einzelne PHP-Datei, die mit dem PHP läuft, das der Server gerade hat. kein bestätigter Pfad – Backdrop CMS CMS Version 1.35: PHP 7.1 oder neuer Reports \u0026gt; Status report, Zeile „PHP“ – BookStack Wiki Version 26.09: PHP 8.2 oder neuerBookStack hat am 21. Oktober 2026 eine eigene Warnung veröffentlicht. Sie weist darauf hin, dass die korrigierten Pakete von Ubuntu ältere Versionsnummern behalten. Hinweis des Herstellers kein bestätigter Pfad – Cacti Monitoring Version 1.2.31: PHP 8.1 oder neuerDie eigenen Quellen von Cacti widersprechen sich: Die README von 1.2.31 nennt noch PHP 5.4. Utilities \u0026gt; Technical Support \u0026gt; Summary, Zeile „PHP Version“ – Concrete CMS CMS Version 9.5: PHP 7.3 bis 8.5 Dashboard \u0026gt; System \u0026amp; Settings \u0026gt; Environment \u0026gt; Environment Information – Contao CMS Version 6.0: PHP 8.4 oder neuerContao 5.3 akzeptiert PHP 8.1, für das es keine Version mit dem Fix gibt. kein bestätigter Pfad – Craft CMS CMS Version 5: PHP 8.2 oder neuerCraft 4 akzeptiert PHP 8.0.2 und neuer. Utilities \u0026gt; PHP Info – DokuWiki Wiki Version 2026-07-14: PHP 8.2 oder neuerÖffne die Prüfseite, während du als Administrator angemeldet bist. ?do=check – Dolibarr ERP CRM CRM Version 24.0: PHP 7.2 bis 8.5 Dolibarr 18 LTS unterstützt nur PHP 7.1 bis 8.1, für die es keine Version mit dem Fix gibt. Home \u0026gt; Admin Tools \u0026gt; PHP, Zeile „Version“ – Drupal CMS Version 11.4: PHP 8.3 bis 8.5Drupal 10.6 läuft mit PHP 8.1 bis 8.4. Drupal 11.4.11 (21. Oktober 2026) ersetzt außerdem eine veraltete PHP-Einstellung in der .htaccess-Datei. Reports \u0026gt; Status report, Zeile „PHP“ ja, mit Version 11.4.3 EspoCRM CRM Version 10.0: PHP 8.3 bis 8.5 Administration \u0026gt; System Requirements – Flarum Forum Version 2.0: PHP 8.3 oder neuerFlarum 1.x akzeptiert PHP 7.3 und neuer. Admin \u0026gt; Dashboard, Zeile „PHP“ – FreePBX Netzwerk Version 17: PHP 8.2 oder neuerDas offizielle Installationsprogramm richtet PHP 8.2 aus Debian 12 ein. Der Fix kommt als Debian-Sicherheitsupdate, dessen Versionsnummer nicht 8.2.35 lauten muss. kein bestätigter Pfad – FreshRSS Sonstiges Version 1.30: PHP 8.1 oder neuerDie Versionen 1.30.3 und 1.30.4 (21. Oktober 2026) stellen die Docker-Images auf korrigierte PHP-Versionen um; lade das neue Image. Hinweis des Herstellers Administration \u0026gt; Check installation – Froxlor Hosting Version 2.3: PHP 7.4 bis 8.5Verwaltet auch das PHP der Websites, die es hostet. kein bestätigter Pfad – Gambio Onlineshop Version 26.10: PHP 8.2 bis 8.3PHP 8.2 bekommt nur bis zum 31. Dezember 2026 Sicherheitsupdates. kein bestätigter Pfad – GLPI Helpdesk Version 12.0: PHP 8.3 oder neuerGLPI 10, das noch aktualisiert wird, akzeptiert PHP 7.4 und neuer. kein bestätigter Pfad – Grav CMS Version 2.2: PHP 8.3.11 oder neuerGrav 1.7 akzeptiert PHP 7.3.6 und neuer. kein bestätigter Pfad – Icinga Web Monitoring Version 2.14: PHP 8.2 oder neuer About, Zeile „PHP Version“ – ILIAS Lernplattform Version 11: PHP 8.3 bis 8.4 (Empfehlung: 8.4)ILIAS 9 läuft nur mit PHP 8.1 und 8.2. kein bestätigter Pfad – ISPConfig 3 Hosting Version 3.3: nutzt die PHP-Pakete der Linux-DistributionVerwaltet auch das PHP der Websites, die es hostet. Laut der Warnung von ISPConfig vom 21. Oktober 2026 wurden bereits Angriffe beobachtet; das PHP-Projekt selbst spricht nicht davon. Hinweis des Herstellers kein bestätigter Pfad – Joomla CMS Version 6.2: PHP 8.3 oder neuer (Empfehlung: 8.4)Joomla 5, das noch im Einsatz ist, akzeptiert PHP 8.1, für das es keine Version mit dem Fix gibt. System \u0026gt; Information \u0026gt; System Information, Zeile „PHP Version“ ja, mit Version 6.1.4 JTL-Shop Onlineshop Version 5.8: PHP 8.3 oder neuer kein bestätigter Pfad – Kanboard Zusammenarbeit Version 1.2: PHP 8.1 oder neuerVersion 1.2.56 (21. Oktober 2026) stellt das offizielle Docker-Image auf PHP 8.5.12 um, das den Fix enthält. Hinweis des Herstellers Settings \u0026gt; About, Zeile „PHP version“ – Kirby CMS Version 5: PHP 8.2 bis 8.5 (Empfehlung: 8.4) Panel \u0026gt; System, Zeile „PHP“ – Laravel Framework Version 13: PHP 8.3 bis 8.5Ein Framework: Anwendungen, die darauf aufbauen, laufen mit dem PHP des Servers. Laravel 12 läuft mit PHP 8.2 bis 8.5. kein bestätigter Pfad ja, mit Version 13.11 LibreNMS Monitoring Version 26.10: PHP 8.4 oder neuer (Empfehlung: 8.5) /about, Zeile „PHP“ – LimeSurvey Community Edition Umfragen Version 7: PHP 8.1.29 bis 8.5 LimeSurvey 5.x (PHP 7.2.5 bis 8.0) und 3.x (bis PHP 7.4) laufen nur mit PHP-Versionen, die keinen Fix mehr bekommen. Configuration \u0026gt; Settings \u0026gt; Global settings \u0026gt; Overview – Magento Open Source / Adobe Commerce Onlineshop Version 2.4.9: PHP 8.3 bis 8.5 (Empfehlung: 8.5) Die Versionen 2.4.4 und 2.4.5 bekommen noch Sicherheitsupdates, laufen aber nur mit PHP 8.1, für das es keine Version mit dem Fix gibt; 2.4.6 läuft mit 8.1 oder 8.2. kein bestätigter Pfad ja, mit Version 2.4.9 Matomo On-Premise Webanalyse Version 5.14: PHP 7.2.5 oder neuerDie FAQ von Matomo nennen PHP 8 für Version 5; der Code akzeptiert noch 7.2.5. Administration \u0026gt; Diagnostic \u0026gt; System Check – Mautic CRM Version 7: PHP 8.2 bis 8.5Mautic 5.2 und 6.0 laufen mit PHP 8.1 bis 8.3. kein bestätigter Pfad – MediaWiki Wiki Version 1.46: PHP 8.3 bis 8.5Die Seite zeigt auch, wie PHP läuft: apache2handler bedeutet mod_php, dort ist das Risiko am größten. MediaWiki 1.43 LTS akzeptiert PHP 8.1. Special:Version, Zeile „PHP“ ja, mit Version 1.46.2 MODX Revolution CMS Version 3.2: PHP 8.1 oder neuer Reports \u0026gt; System Info, Zeile „PHP Version“ – Moodle LMS Lernplattform Version 5.3 LTS: PHP 8.3 bis 8.4Moodle 4.5 LTS akzeptiert PHP 8.1 und neuer. Site administration \u0026gt; Server \u0026gt; PHP info – MyBB Forum Version 1.8: PHP 5.2 oder neuerDas Installationsprogramm akzeptiert sogar PHP 5.2. Admin CP \u0026gt; Home, Zeile „PHP Version“ – Neos CMS Version 9.2: PHP 8.4 bis 8.5Neos 8.4 bis 9.1 laufen mit PHP 8.2 bis 8.5. kein bestätigter Pfad – Nextcloud Server Zusammenarbeit Version 35: PHP 8.3 bis 8.5 (Empfehlung: 8.5)Nextcloud 33 läuft mit PHP 8.2 bis 8.5. kein bestätigter Pfad ja, mit Version 35.0.1 OpenCart Onlineshop Version 4.1: PHP 8.0 oder neuerDer Code der Version 4.1 erfordert PHP 8.1 oder neuer. kein bestätigter Pfad – OPNsense (web interface) Netzwerk Version 26.7.7: bringt PHP 8.5.11 mit; nur der Hersteller kann es aktualisieren PHP wird nur über Firmware-Updates aktualisiert (System \u0026gt; Firmware \u0026gt; Status). Das neueste für 26.7 aufgeführte PHP ist 8.5.11, älter als die korrigierte 8.5.12. kein bestätigter Pfad – osTicket Helpdesk Version 1.18: PHP 8.2 bis 8.4 (Empfehlung: 8.4) Admin Panel \u0026gt; Dashboard \u0026gt; Information, Zeile „PHP Version“ – ownCloud Server (Classic) Zusammenarbeit Version 10.16: nur PHP 7.4 ownCloud 10.16, das noch aktualisiert wird, unterstützt nur PHP 7.4, dessen Support 2022 endete und für das es keine Version mit dem Fix gibt. ownCloud Classic 11 braucht PHP 8.3 und bringt es in seinen Docker-Images mit. kein bestätigter Pfad – OXID eShop Onlineshop Version 7.5: PHP 8.3 bis 8.5 kein bestätigter Pfad – pfSense (web interface) Netzwerk Version CE 2.9.0: bringt PHP 8.5.7 mit; nur der Hersteller kann es aktualisieren PHP ist Teil des Firewall-Systems, deshalb bringt nur ein Update von Netgate den Fix. CE 2.9.0 enthält PHP 8.5.7, älter als die korrigierte 8.5.12. kein bestätigter Pfad – phpBB Forum Version 3.3: PHP 7.2 bis 8.3 Administration Control Panel \u0026gt; General, Zeile „PHP version“ – phpMyAdmin Verwaltung Version 5.2.3: PHP 7.2 bis 8.3Offiziell nur bis PHP 8.3 unterstützt. Der ältere Zweig 4.9 läuft nur mit PHP 7.4 oder älter, und dafür gibt es keine Version mit dem Fix. Home page \u0026gt; Web server, Zeile „PHP version“ ja, mit Version 5.2.3 Piwigo Sonstiges Version 16.4: PHP 8.2 oder neuerDer Code akzeptiert noch PHP 7.4. kein bestätigter Pfad – PrestaShop Onlineshop Version 9.1: PHP 8.1 bis 8.5 (Empfehlung: 8.5) PrestaShop 8, das noch gepflegt wird, unterstützt nur PHP 7.2 bis 8.1, für die es keine Version mit dem Fix gibt: Aktualisiere auf Version 9 oder frag deinen Hoster, ob er einen Backport eingebaut hat. Advanced Parameters \u0026gt; Information – ProcessWire CMS Version 3.0: PHP 7.1 oder neuer kein bestätigter Pfad – Roundcube Webmail Webmail Version 1.7: PHP 8.1 bis 8.5Die Reihe 1.6 akzeptiert PHP 7.3 und neuer. kein bestätigter Pfad ja, mit Version 1.7.4 Shopware 6 Onlineshop Version 6.7: PHP 8.2 oder neuer (Empfehlung: 8.4)Der Code der Versionen 6.6 und 6.7 unterstützt PHP 8.2 bis 8.5. kein bestätigter Pfad – Silverstripe CMS CMS Version 6.2: PHP 8.3 bis 8.5 kein bestätigter Pfad – SnappyMail Webmail Version 2.38: PHP 7.4 oder neuerSeit Oktober 2024 keine neue Version. kein bestätigter Pfad – Statamic CMS Version 6: PHP 8.3 oder neuerBaut auf Laravel auf. Control Panel \u0026gt; Utilities \u0026gt; PHP Info – SuiteCRM CRM Version 8.10: PHP 8.2 bis 8.4SuiteCRM 8.9 läuft mit PHP 8.1 bis 8.3, Version 7.14 mit 8.1 und 8.2. kein bestätigter Pfad – Sylius Onlineshop Version 2.3: PHP 8.3 oder neuerBaut auf Symfony auf. Sylius 1.14 akzeptiert PHP 8.1, für das es keine Version mit dem Fix gibt. kein bestätigter Pfad – Symfony Framework Version 8.1: PHP 8.4 oder neuerEin Framework. Symfony 6.4 LTS akzeptiert PHP 8.1, für das es keine Version mit dem Fix gibt. kein bestätigter Pfad ja, mit Version 8.1 TYPO3 CMS Version 14 LTS: PHP 8.2 bis 8.5Für TYPO3 13 LTS gilt derselbe Bereich. Toolbar \u0026gt; System Information, Zeile „PHP version“ – WHMCS Hosting Version 9.1: PHP 8.2 bis 8.4 (Empfehlung: 8.4)WHMCS 8.13 LTS läuft mit PHP 7.2 bis 8.3, auch mit Versionen, die keinen Fix mehr bekommen. kein bestätigter Pfad ja (ohne Versionsangabe) WooCommerce Onlineshop Version 11.2: PHP 7.4 bis 8.4 (Empfehlung: 8.3)8.4 ist die höchste Version, die WooCommerce getestet hat. Es läuft innerhalb von WordPress und nutzt das PHP der WordPress-Website. WooCommerce \u0026gt; Status \u0026gt; Server environment, Zeile „PHP version“ – WordPress CMS Version 7.1: PHP 7.4 bis 8.5 (Empfehlung: 8.3) Tools \u0026gt; Site Health \u0026gt; Info \u0026gt; Server, Zeile „PHP version“ ja, mit Version 7.1.2 Zabbix (web frontend) Monitoring Version 7.4: PHP 8.0 bis 8.5Nur das Web-Frontend läuft mit PHP. Zabbix 6.0 LTS läuft mit PHP 7.2.5 bis 8.3. kein bestätigter Pfad – Aus Dokumentation und Quellcode der Anwendungen, geprüft am 23. Oktober 2026. Gelistet sind nur Anwendungen, deren Codebasis nachweislich PHP ist. Betreibt ein Anbieter die Anwendung für dich, aktualisiert er auch PHP. Die Menüpfade beziehen sich auf die englische Oberfläche der Anwendungen.\nSo funktioniert der Angriff Wenn eine Anfrage mehr Speicher benötigt, als PHP zulässt, bricht PHP sie sofort ab und springt aus dem gerade ausgeführten Code heraus. Die Entdecker stellten fest, dass dies im ungünstigsten Moment passieren kann: mitten beim Erstellen einer Liste hochgeladener Dateien oder während Daten aus der Anfrage noch verwendet werden. Zurück bleiben halb fertige Daten, die PHP später als vollständig behandelt.\nEin Angreifer kann das von außen auslösen, mit einer Upload-Anfrage, die genau an dieser Stelle den Speicher erschöpft – ohne Anmeldung und noch bevor der eigene Code der Website startet. Die zweite Schwachstelle geht weiter: Datenreste aus einer Anfrage überdauern bis zur nächsten Anfrage, die derselbe Worker-Prozess bearbeitet, und dieser verwendet dann bereits freigegebenen Speicher wieder. Zusammen erlauben die beiden Schwachstellen einem Angreifer, den Speicher des Servers auszulesen und Befehle mit den Rechten des Webservers auszuführen.\nAngreifersendet eine präparierte Upload-Anfrage PHPbricht mittendrin wegen Speichermangel ab Halb fertige Datenbleiben im Speicher zurück Nächste Anfrageführt die Befehle des Angreifers aus Der Angriff in vier Schritten: Er wirkt, bevor irgendein Anwendungscode läuft. Deshalb spielt es keine Rolle, welche Anwendung die Website nutzt. Laut PHP-Projekt ist jede PHP-Installation gefährdet, die Webseiten ausliefert: als Apache-Modul, über PHP-FPM, php-cgi, FrankenPHP oder LiteSpeed. Am größten ist das Risiko beim Apache-Modul, wo der Angriff schon vor jedem Anwendungscode wirkt; bei PHP-FPM brauchten die Entdecker einen Weg über die Anwendung.\nWelche Anwendungen betroffen sind Jede Anwendung, die auf einer betroffenen PHP-Version läuft, ist gefährdet, denn die Lücke liegt eine Ebene darunter. Die Entdecker haben in ihren Tests Server mit diesen elf Anwendungen übernommen:\nAnwendungGetestete Version WordPress7.1.2 Drupal11.4.3 Joomla6.1.4 MediaWiki1.46.2 Roundcube1.7.4 Magento2.4.9 phpMyAdmin5.2.3 Nextcloud35.0.1 Laravel13.11 Symfony8.1 WHMCSnicht angegeben Die Liste der Anwendungen unter dem Test oben zeigt weitere PHP-Anwendungen, die PHP-Versionen, die sie brauchen, und wo sie die PHP-Version deines Servers anzeigen.\nDrei Bewertungen für denselben Fehler Das PHP-Projekt bewertet beide Schwachstellen mit 9,2 auf Version 4.0 der CVSS-Skala. Die US-amerikanische National Vulnerability Database vergibt 9,8 auf Version 3.1 – der Skala, die diese Reihe für jeden Fall verwendet. Ein Wert von 10,0, der am Tag vor der Veröffentlichung im Netz kursierte, war laut PHP Foundation falsch.\nSchweregrad-Bewertungen für PHP2Shell PHP-Projekt (CVSS 4.0)9,2 NVD (CVSS 3.1)9,8 Leak vom 20. Oktober (falsch)10 Das PHP-Projekt stuft den Angriff als schwerer durchführbar ein als die NVD, was seinen Wert senkt.\nEine Veröffentlichung unter Druck Die Lücken wurden PHP ab August 2026 gemeldet, von Calif, Wiz Research und OpenAI, unabhängig voneinander. Laut PHP Foundation hatte ein Kernentwickler schon 2024 erste Anzeichen derselben Ursache gesehen, als eine Ausnutzung noch nicht nachgewiesen war. Die Veröffentlichung war für den 22. Oktober geplant; der letzte Tag davor verlief anders.\n20. und 21. Oktober 2026 (UTC) 1 2 3 4 120. Oktober 2026Die beiden CVE-Nummern kursieren in Foren und sozialen Medien, mit falscher Bewertung und falschem Veröffentlichungstermin 220. Oktober 2026PHP veröffentlicht seine Vorankündigung früher und zieht die Veröffentlichung um einen Tag vor\u0026#43;0 Tage 321. Oktober 2026Ein Container-Anbieter veröffentlicht Images mit dem Fix mehr als sechs Stunden zu früh und bricht damit die Sperrfrist\u0026#43;1 Tag 421. Oktober 2026Die korrigierten Versionen 8.5.12, 8.4.27, 8.3.36 und 8.2.35 erscheinen um 14:00 Uhr\u0026#43;1 Tag Am Abend des 20. Oktober veröffentlichte einer der Entdecker außerdem versehentlich ein Video des Angriffs; es wurde gelöscht, aber vielfach kopiert. Die gemeinsame Seite der Entdecker, php2shell.com, zeigt die Demonstrationen mit WordPress, Drupal und Joomla.\nAm 23. Oktober 2026 waren keine Angriffe bekannt, und die US-Behörde CISA stufte die Ausnutzung als „keine“ ein. Die Entdecker haben veröffentlicht, wie der Angriff funktioniert, deshalb sollte das Update nicht warten.\nMit KI gefunden, von KI überflutet PHP2Shell zeigt auch, wie KI die Suche nach Sicherheitslücken verändert. Die PHP Foundation hat PHP in Patch the Planet aufnehmen lassen, ein Programm von OpenAI, in dem Sicherheitsfirmen Open-Source-Projekten helfen, Schwachstellen zu finden und zu beheben; im Rahmen dessen begann Calif am 30. Juli 2026, PHP zu prüfen. Wiz gibt an, seinen ersten Fehler mit dem eigenen Werkzeug Wiz Atlas und den KI-Modellen Gemini 4 Argon und GPT-5.6 Sol gefunden zu haben. Schon früher im Jahr 2026 hatte die PHP Foundation PHP gemeinsam mit dem Projekt Alpha-Omega mit Anthropics Modell Claude Mythos untersuchen lassen.\nDie Kehrseite: Das PHP-Sicherheitsteam erhält inzwischen weit mehr Meldungen als zuvor. Seit dem 1. Juli 2026 hat es 15 CVEs veröffentlicht und mehr als 100 Meldungen bearbeitet, die sich als ungültig, doppelt oder nicht reproduzierbar herausstellten. Laut PHP Foundation hilft KI dem Team beim Sortieren der Meldungen, doch jede Entscheidung trifft ein Mensch, und an jedem Patch arbeitet ein Mensch.\nMeldungen an das PHP-Sicherheitsteam seit dem 1. Juli 2026 Als CVEs veröffentlicht15 Ungültig, doppelt oder nicht reproduzierbar (mehr als)100 Quelle: PHP Foundation, 21. Oktober 2026.\nWenn du heute nicht aktualisieren kannst Das PHP-Projekt und die Entdecker nennen Einstellungen, die einen Angriff erschweren, bis das Update installiert ist. Sie warnen, dass diese Einstellungen nicht jede Variante des Angriffs abdecken.\nFortschrittsanzeige für Uploads abschalten: Setze session.upload_progress.enabled auf off. Anfragegrenzen senken: Reduziere post_max_size und max_input_nesting_level auf das, was deine Website braucht. Fehlerdetails ausblenden: Setze display_errors auf off; unter PHP 8.5 schalte zusätzlich fatal_error_backtraces ab. Worker öfter neu starten: Ein niedrigerer Wert für pm.max_requests in PHP-FPM verkürzt die Zeit, die Datenreste überdauern können. Manche Hinweise empfehlen außerdem, memory_limit auf -1 zu setzen; das entfernt den Auslöser Speichermangel. Ohne Speichergrenze kann eine einzelne Anfrage den gesamten Arbeitsspeicher des Servers verbrauchen. Tu das deshalb nur zusammen mit einer Grenze auf Betriebssystemebene, und aktualisiere so bald wie möglich.","title":"PHP2Shell: Die Sicherheitslücken in PHP, die die meisten Websites gefährden","url":"https://crackthe.net/de/schwachstellen/php2shell/"}