FYI: CVE-Embargo läuft offiziell übermorgen um 17:00h (CEST/UTC+2) ab; PHP-Nutzer sollten aber ab sofort die Augen aufhalten bzgl. Patches. CVSS v4.0 Score: 9,2 [URL:https://www.php.net/archive/2026.php#2026-10-20-1] (kritisch) Update #1: "The PHP security team would like to give advance notice of an upcoming security release. It is scheduled for Wednesday, 21 October 2026 at 14:00 UTC. […] Full details, affected versions, and the fixed versions will be published with the release." Update #2: Trotz mehreren aufgetauchten POCs [URL:https://forum.netcup.de/thread/23215-php5-6-7-8-cve-2026-109618-109619-remote-code-execution-rce/?postID=276131#post276131]* (inkl. "php2shell") wurde obiges Veröffentlichungsdatum bislang nicht vorgezogen; temporäre partielle Abhilfe siehe hier [URL:https://forum.netcup.de/thread/23215-php5-6-7-8-cve-2026-109618-109619-remote-code-execution-rce/?postID=276135#post276135] (Zusatz: "Block multipart/form-data requests on routes that do not require uploads as well [URL:https://x.com/Dinosn/status/2112738921599648171]" [x.com] – vgl. "php2shell-protection [URL:https://github.com/syhunt/php2shell-protection]" [github.com]); weil erwartungsgemäß nur PHP 8[.2?] oder neuer einen Patch bekommt (zur Erinnerung: PHP 5.x/7.x/8.0/8.1 sind EOL [URL:https://eosl.date/eol/product/php/] [eosl.date]), ist es wichtig, die eigene Konfiguration/PHP-Verwendung genauer zu prüfen – von "Neo23x0" (Florian Roth) gibt es hierzu einen "process-watcher" für PHP auf GitHub [URL:https://github.com/Neo23x0/process-watcher/blob/main/emerging-threats/php-rce-october-26/README.md]. Fehlerbereinigte PHP-Versionen (wenn verfügbar) laut Nicolas Krassas [URL:https://x.com/Dinosn/status/2112738921599648171] [x.com]: 8.5.12, 8.4.27, 8.3.36, 8.2.35 Update #3: Es ist ratsam, die eigenen PHP-basierten Serverdienste spätestens kurz vor Veröffentlichung der neuen PHP-Versionen herunterzufahren (denn ab diesem Zeitpunkt sind die konkreten Schwachstellen jedem Interessierten/AI-Bot uneingeschränkt zugänglich – entsprechende bösartige Akteure agieren schnell [URL:https://forum.netcup.de/thread/23215-php5-6-7-8-cve-2026-109618-109619-remote-code-execution-rce-update-2/?postID=276211#post276211]) und erst nach lokaler Einspielung/lokalen Tests wieder öffentlich verfügbar zu machen. (Hier ein paar Betreiber größerer Webpräsenzen, welche mit gutem Beispiel vorangehen [URL:https://x.com/IntCyberDigest/status/2112863746049687883]. [x.com]) Nach Aussage mehrerer Entwickler aus dem "PHP-Kern-Team" sind reine Konfigurationsänderungen (php.ini/user.ini) nicht ausreichend. Update #4: Das offizielle Security advisory wurde veröffentlicht! [URL:https://www.php.net/archive/2026.php#2026-10-21-5] Auch Canonical hat einen Backport mit Korrekturen veröffentlicht: php8.5_8.5.9-0ubuntu2.1 [URL:https://launchpad.net/ubuntu/+source/php8.5/8.5.9-0ubuntu2.1] (damit sind ab jetzt die konkreten Angriffspunkte analysierbar!) [vgl. Canonical-Blog-Beitrag [URL:https://ubuntu.com/blog/php2shell-vulnerability-fixes-available]] Update #5: Ondřej Surý hat für Debian (Bullseye,Bookworm,Trixie) / Ubuntu (Jammy/22.04,Noble/24.04,Resolute/26.04) inzwischen Updates für die PHP-Versionen 5.6, 7.0–7.4, 8.0–8.6(RC3) [URL:https://deb.sury.org/#php-packages] bereitgestellt; anhand der mitveröffentlichten Quellen/Patches [URL:https://launchpad.net/~ondrej/+archive/ubuntu/php/+packages?field.name_filter=php8&field.status_filter=published&field.series_filter=] lassen sich damit indirekt auch eigene Kompilate älterer PHP-Versionen erstellen. Es gibt erste Berichte, nach welchen bspw. PHP 8.5.12 immer noch mindestens eines Sicherheitslücke aufweist [URL:https://forum.netcup.de/thread/23215-php5-6-7-8-cve-2026-109618-109619-remote-code-execution-rce-update-5/?postID=276307#post276307], dies ist aber vermutlich ein "Beifang" der getesteten Exploits – im Umkehrschluss bedeutet dies, dass man zumindest in den nächsten Tagen darauf achten sollte, ob weitere Updates anstehen. Ein guter Zeitpunkt, um die Vorgehensweise/gelernten Lektionen beim aktuellen Update sauber zu dokumentieren, um sie dann schneller erneut durchführen zu können. Und: Die Fußnote unten nicht vergessen! Hintergrundartikel: "PHP2Shell: AI uncovers critical RCE vulnerabilities affecting 70% of the Internet [URL:https://www.wiz.io/blog/php2shell-php-rce]" [wiz.io] Update #6: Weiter geht es mit CVE-2026-115560 (Informational advisory: Session upload progress [URL:https://www.php.net/] [php.net]); wer die Workarounds von hier [URL:https://forum.netcup.de/thread/23215-php5-6-7-8-cve-2026-109618-109619-remote-code-execution-rce/?postID=276135#post276135] noch verwendet, muss derzeit nur auf die nächsten Fehlerkorrekturen warten. * Damit gilt automatisch: "After patching, check for compromise. An update doesn't remove an existing webshell or invalidate stolen credentials. [URL:https://x.com/cyb3rops/status/2112663298088845676]" [x.com]

PHP5/6/7/8: CVE-2026-109618/109619 (Remote Code Execution/RCE) [Update #6]

Legende

In Ihrem Webbrowser ist JavaScript deaktiviert. Um alle Funktionen dieser Website nutzen zu können, muss JavaScript aktiviert sein.