PHP Kritische Schwachstellen vor Patch geleakt

Zwei kritische PHP-Schwachstellen sind vor ihrem Patch geleakt, frühe Angriffe werden gemeldet, und das CERT der EU sagt, dass internetexponierte Anwendungen womöglich isoliert werden müssen, bis er eingespielt ist. Das Sicherheitsteam von PHP hat den Fix für den 21. Oktober um 14:00 UTC (16:00 MESZ) angekündigt. Beide Lücken sind mit CVSS v4.0 9,2 bewertet, und Forscher berichten von Remote Code Execution.

Was ist passiert?

Am 20. Oktober behauptete ein Beitrag auf Hacker News, zwei kritische PHP-Lücken mit Remote Code Execution stünden kurz vor der Veröffentlichung. Der Beitrag wurde gelöscht, doch die Sicherheitsfirma watchTowr bestätigte, die geleakten Informationen seien echt und die Lücken stünden bis Donnerstag unter Embargo. Am Abend veröffentlichte das PHP-Sicherheitsteam eine Vorankündigung: Ein Release am Mittwoch, 21. Oktober um 14:00 UTC behebt zwei kritische Schwachstellen, beide mit CVSS v4.0 9,2 bewertet; es kann früher erscheinen, wenn Details öffentlich werden oder Ausnutzung beginnt.

Die Ankündigung beschreibt die Lücken nicht. PHP will Details, betroffene und korrigierte Versionen mit dem Release veröffentlichen. CERT-EU und Forscher verwenden die Kennungen CVE-2026-109618 und CVE-2026-109619, die in der PHP-Ankündigung nicht genannt werden, sowie den Spitznamen php2shell, der von den Forschern stammt und nicht von PHP. Die CERT-EU-Warnung 2026-018 (Version 1.0 vom 21. Oktober) nennt keine technischen Details, rät zur Vorbereitung auf sofortiges Patchen und, wo das nicht möglich ist, dazu, internetexponierte Anwendungen von öffentlichen Netzen zu isolieren, bis ein Fix vorliegt. Die Berichte zur Ausnutzung widersprechen sich. Stand 21. Oktober, 15:00 MESZ, sagte der Cloudflare-CTO auf X, laut Reuters zitiert, sein Unternehmen sehe frühe Angriffe und habe Firewall-Regeln als Übergangslösung ergänzt, und Patchstack meldet mehrere bestätigte aktive Ausnutzungsfälle, ohne Details zu veröffentlichen. Die australische ACSC kennt nach eigener Angabe keine Ausnutzung, und Huntress hatte Stand 20. Oktober in seinen Partnerumgebungen keine gesehen. Laut watchTowr stehen die Lücken nicht im CISA-KEV-Katalog. Indikatoren für eine Kompromittierung sind nicht öffentlich.

Warum das wichtig ist

PHP steckt unter WordPress, Drupal, Joomla, Magento, Shared Hosting, Control Panels wie cPanel und Plesk und in Software, die gar nicht angibt, dass sie PHP nutzt. Liegt die Lücke in PHP selbst, lautet die Frage nicht „welche unserer Anwendungen ist betroffen“, sondern „wo betreiben wir überhaupt PHP“. CERT-EU und die australische ACSC schreiben, die Lücken könnten alle PHP-Versionen ab PHP 5 betreffen, CERT-EU beruft sich dabei auf einen Social-Media-Beitrag; PHP hat das nicht bestätigt, und auch die FAQ von watchTowr nennt den Umfang unbestätigt.

Die Version ist entscheidend, weil PHP nur vier Zweige pflegt, derzeit 8.2 bis 8.5. PHP 8.1, 8.0, 7.x und 5.x sind am Lebensende. PHP hat nicht gesagt, welche Zweige der Release abdeckt, und Forscher erwarten Fixes nur für unterstützte; Installationen auf älteren Zweigen erhalten womöglich keinen Herstellerpatch.

Was Sie jetzt tun sollten

1. Inventarisieren Sie jede PHP-Installation. Beginnen Sie bei den Webservern, suchen Sie dann nach PHP in Herstelleranwendungen, Windows-Software und Control Panels sowie nach allem, was WordPress, Drupal, Joomla oder Magento betreibt. Notieren Sie die PHP-Version jeder Installation.
2. Planen Sie das Patch-Fenster rund um den Release. Patchen Sie internetexponierte Systeme zuerst, entnehmen Sie die Fix-Versionen der offiziellen PHP-Ankündigung und prüfen Sie bei Ihrer Linux-Distribution und Ihrem Hoster, ob zurückportierte Pakete vorliegen.
3. Gehen Sie mit PHP am Lebensende um. Bei PHP 8.1 oder älter: Upgrade planen und das System in der Zwischenzeit hinter VPN oder Web Application Firewall stellen. Wenn Sie nicht sofort patchen können, folgen Sie CERT-EU und isolieren Sie die Anwendung.
4. Beobachten Sie, was PHP startet. Alarmieren Sie, wenn php-fpm, php-cgi, httpd oder apache2 Shells, Interpreter oder Download-Tools starten. Bei einem Fund: Server isolieren, Webserver- und PHP-Logs sichern und nach Web Shells, neuen Dateien im Web-Root, neuen Cron-Jobs und Konten suchen.

DIESEC-Einschätzung

Ein Leak vor dem Patch gibt Angreifern einen Vorsprung genau gegenüber denen, die noch nicht patchen können, und Cloudflare und Patchstack melden bereits Angriffe. Deshalb ist der erste Schritt zu wissen, was man betreibt, und nicht, auf den Fix zu warten.

Sie wissen nicht, wo in Ihrer Umgebung PHP läuft? Kontaktieren Sie DIESEC für ein schnelles Exposure-Inventar und eine Web-Shell-Suche über Ihre internetexponierten Systeme.

Quellen: PHP Foundation | CERT-EU 2026-018 | Huntress | The Hacker News
Veröffentlicht: 2026-10-21 | Kategorie: Schwachstellen & Patches | ca. 4 Min. Lesezeit