PHP2Shell
2026 Sicherheitslücke in PHP
From Wikipedia, the free encyclopedia
PHP2Shell ist die Bezeichnung für zwei Remote Code Execution-Sicherheitslücken in PHP, die vom Computer Emergency Response Team der Europäischen Union als CVE-2026-109618 und CVE-2026-109619 geführt werden.[1]
Entdeckung und Methodik
Die PHP Foundation stufte die Common Vulnerability Scoring System Sicherheitslücken, die alle Versionen ab PHP 5 (seit 2004) betrifft, mit einem Rating von 9,2 als kritisch ein und veröffentlichte am 20. Oktober 2026 eine entsprechende Warnmeldung. Angekündigt wurde die Bereitstellung von Patches für Versionen ab PHP 8.2 am 21. Oktober um 16:00 CEST. Ursprünglich für den 22. Oktober 2026 geplante Schritte wurden vorgezogen, da Informationen über die Sicherheitslücke bereits durch ein Leak in einschlägigen Foren bekannt geworden waren.[2]
Der Name PHP2Shell stammt vom dem geleakten Werkzeug zur Ausnutzung der Sicherheitslücken. Ausgehend von dessen Funktionalität wurden Proof of Concepts veröffentlicht, die den genutzten Angriffsvektor beschreiben sollen. Demnach soll eine multipart-POST-Anfrage mit einem Feld namens PHP_SESSION_UPLOAD_PROGRESS an die Fortschrittsanzeige für Uploads in der Session session.upload_progress, die ab PHP 5.4 standardmäßig aktiv ist, den Exploit ermöglichen.[3]
Auswirkungen
Der DNS- und Internetsicherheitsdienst Cloudflare bestätigte am 21. Oktober beginnende Angriffe auf Webseiten durch die PHP-Lücken und leitete Maßnahmen ein.[4] Ein sofortiges Update der Systeme bei Verfügbarkeit veröffentlichter Patches wurde empfohlen.[5] Da für eine Vielzahl älterer PHP Versionen bislang keine Patch-Updates verfügbar sind, wurde geraten, gefährdete Applikationen zu isolieren und zunächst aus öffentlichen Netzwerken zu entfernen.[1]
Das Bundesamt für Sicherheit in der Informationstechnik rief dazu auf, unmittelbare Ressourcen bereitzuhalten, um die Patches umgehend zu installieren, da großflächige KI-gestützte Angriffe zu erwarten seien.[6]
In den Niederlanden wurden verschiedene bedeutende Webseiten und -dienste vorsorglich vom Netz genommen, darunter das Bürgerportal der niederländische Regierung MijnOverheid.nl, der Authentifizierungsdienst DigiD und die Webseiten von RTL Nederland.[7]
In Finnland wurden alle Netzwerkdienste der Regierung ebenfalls für den gesamten eingehenden Datenverkehr gesperrt.[8]