CISA nimmt PHP2Shell-Schwachstellen in den KEV-Katalog auf: aktive Ausnutzung bestätigt

Die Behörde CISA hat am 26. Oktober 2026 zwei kritische PHP-Schwachstellen – CVE-2026-109618 und CVE-2026-109619, die unter dem gemeinsamen Namen PHP2Shell bekannt sind – in den Katalog Known Exploited Vulnerabilities (KEV) aufgenommen. Beide Schwachstellen ermöglichen die Ausführung beliebigen Codes auf dem Server ohne Authentifizierung und werden nach CVSS v4.0 mit 9.2 bewertet (9.8 nach CVSS v3.1, gemäß dem Sicherheitshinweis von Arista). Angesichts der Tatsache, dass PHP laut W3Techs auf etwa 69 % der Websites mit bekannter serverseitiger Sprache eingesetzt wird, ist das potenzielle Ausmaß der Auswirkungen enorm. Patches sind seit dem 21. Oktober verfügbar – die Aktualisierung von PHP ist für alle betroffenen Organisationen eine vorrangige Maßnahme. Wir haben diese Schwachstellen bereits früher ausführlich analysiert

Technische Details der Schwachstellen

Beide Schwachstellen gehören zur Klasse CWE-416 (Use After Free) und betreffen den PHP-Kern, nutzen aber unterschiedliche Mechanismen aus:

• CVE-2026-109618 – steht im Zusammenhang mit einer fehlerhaften Behandlung einer Speichermangelsituation (Out of Memory, OOM). Tritt OOM auf, verwendet PHP longjmp(), um den aktuellen Kontext zu verlassen, aber die internen Anfragedaten können in einem teilweise initialisierten Zustand verbleiben. Die nachfolgende Routine zur Bereinigung der Anfrage greift auf diesen nicht initialisierten Speicher zu, was die Ausführung von Code ermöglicht.
• CVE-2026-109619 – nutzt einen veralteten globalen Zustand aus, der weiterhin auf bereits freigegebenen Anfragespeicher verweist. Nachfolgende Anfragen, die vom selben Worker-Prozess verarbeitet werden, können auf diesen veralteten Zustand zugreifen, bevor er vollständig neu initialisiert wurde.

Dem offiziellen Sicherheitshinweis des PHP-Projekts zufolge sind alle PHP-Versionen unterhalb von 8.2.35, 8.3.36, 8.4.27 und 8.5.12 betroffen. Die Zweige 8.1 und älter erhalten vom PHP-Projekt keine offiziellen Updates mehr, auch wenn Linux-Distributionen Backport-Patches bereitstellen können.

Abhängigkeit des Risikos von der Serverkonfiguration

Ein wichtiger, in Übersichten oft übersehener Aspekt: Das Ausmaß der Verwundbarkeit hängt deutlich vom verwendeten Server-API (SAPI) ab. Den Angaben aus den GitHub-Sicherheitshinweisen von PHP zufolge unterscheiden sich Konfigurationen im Risikoniveau:

• Apache mod_php – die am stärksten verwundbare Konfiguration. Eine Ausnutzung ist vor der Ausführung des Anwendungscodes möglich, da mod_php die Routine zum Beenden der Anfrage unbedingt aufruft, selbst wenn es bereits während der Initialisierung zu einem Fehler kommt.
• PHP-FPM – bei einem Initialisierungsfehler wird der Kindprozess beendet, jedoch ist ein separater Exploit-Pfad über einen veralteten Sitzungszustand bestätigt, sofern die Anfragen des Angreifers demselben Worker-Prozess zugeordnet werden.
• php-cgi, FrankenPHP, LiteSpeed – werden vom PHP-Projekt ebenfalls als betroffene Konfigurationen aufgeführt.

Diese Abhängigkeit vom SAPI bedeutet, dass die Risikobewertung die konkrete Bereitstellungsarchitektur und nicht nur die PHP-Version berücksichtigen muss.

Umfang der Bedrohung

Laut dem Censys-Tracker läuft eine erhebliche Zahl von PHP-Diensten im Internet weiterhin auf verwundbaren Versionen (das Ausgangsmaterial nennt eine Schätzung von mehr als 32,51 Millionen Diensten, diese Zahl wird jedoch im öffentlich zugänglichen Text des Censys-Trackers nicht direkt bestätigt).

Die Reaktion der Branche ist beispiellos: Dutzende großer Anbieter haben Sicherheitshinweise veröffentlicht, darunter Broadcom, Citrix, Dell, F5, Ivanti, Okta, QNAP, Synology, Veeam, WordPress sowie Hersteller industrieller Ausrüstung – Schneider Electric, Siemens, Rockwell Automation, Moxa und Hitachi Energy. Dies zeigt, dass die Schwachstellen nicht nur Webanwendungen betreffen, sondern auch eingebettete Steuerungssysteme, NAS-Geräte und Unternehmenssoftware.

Zusätzliche Bedrohung: CVE-2026-111497 in der Brotli-Bibliothek

Parallel zu PHP2Shell hat die PHP Foundation am 26. Oktober aktualisierte Windows-Builds (8.5.12-1, 8.4.27-1, 8.3.36-1, 8.2.35-1) veröffentlicht, die CVE-2026-111497 beheben – eine Schwachstelle mit Schreibzugriff außerhalb des Puffers in der Dekompressionsbibliothek Brotli. Dem Release-Beschreibung von Brotli v1.2.1 zufolge ermöglicht diese Schwachstelle ebenfalls die Ausführung von Code aus der Ferne. In PHP unter Windows ist der verwundbare Decoder über die cURL-Erweiterung verfügbar, wenn die automatische Dekompression von HTTP-Antworten aktiviert ist (standardmäßig deaktiviert, kann aber von Anwendungen und HTTP-Clientbibliotheken aktiviert werden), wie die PHP Foundation in der Ankündigung ausführt.

CVE-2026-111497 wurde ebenfalls in den CISA-KEV-Katalog aufgenommen, mit einer Frist zur Beseitigung bis zum 10. November 2026. Wir haben diese Schwachstelle zuvor ausführlich analysiert, einschließlich ihrer Auswirkungen auf Node.js, Bun, Python, Envoy Proxy und .NET.

Empfehlungen

Nach der offiziellen Position des PHP-Projekts ist ein Update die einzige vollwertige Möglichkeit, die PHP2Shell-Schwachstellen zu beseitigen. Konfigurationsänderungen (etwa das Setzen von memory_limit=-1 oder das Deaktivieren des Trackings von Sitzungs-Uploads) reduzieren einzelne Angriffsvektoren, bieten aber keinen vollständigen Schutz.

• Aktualisieren Sie PHP umgehend auf die Versionen 8.2.35, 8.3.36, 8.4.27 oder 8.5.12 (verfügbar auf php.net).
• Für Windows-Builds – installieren Sie die Versionen mit dem Suffix „-1“ (8.5.12-1, 8.4.27-1, 8.3.36-1, 8.2.35-1), die zusätzlich CVE-2026-111497 beheben.
• Für PHP 8.1 und älter – diese Zweige erhalten keine offiziellen Updates. Prüfen Sie, ob Ihre Distribution Backport-Patches bereitstellt; andernfalls ist eine Migration auf einen unterstützten Zweig erforderlich.
• Priorisieren Sie Server mit mod_php – diese Konfiguration ist am stärksten verwundbar und ermöglicht eine Ausnutzung noch vor der Ausführung des Anwendungscodes.
• Prüfen Sie die Sicherheitshinweise Ihrer Anbieter für alle Produkte, die PHP als eingebettete Komponente verwenden (NAS-Geräte, Steuerungssysteme, Unternehmensplattformen).

Die Frist zur Beseitigung von PHP2Shell für US-Bundesbehörden endet am 29. Oktober 2026, für CVE-2026-111497 am 10. November 2026. Für Unternehmen sollten diese Termine als Orientierung für die Priorisierung dienen: Die Aufnahme in den KEV-Katalog bedeutet bestätigte aktive Ausnutzung, und jeder Tag Verzögerung vergrößert die Angriffsfläche. Aktualisieren Sie PHP zunächst auf allen aus dem Internet erreichbaren Servern und anschließend auf internen Systemen – unter Berücksichtigung des verwendeten SAPI und eventuell eingebetteter PHP-Komponenten in Drittsoftware.