PHP: Aktiv ausgenutzte Speicherfehler ermöglichen Remote-Code-Ausführung ohne Authentifizierung

Was ist passiert

Eine Speicherfehler-Schwachstelle wurde in PHP offengelegt und wird unter CVE-2026-109618 geführt. Laut den veröffentlichten Daten ermöglicht sie einem nicht authentifizierten Angreifer, auf einem betroffenen System Code aus der Ferne auszuführen. Die Schwachstelle hat einen CVSS-Basiswert von 9.8 (kritisch) und wird aktiv ausgenutzt. Die US-amerikanische Cybersicherheitsbehörde CISA hat sie in ihren Katalog bekannter ausgenutzter Schwachstellen (Known Exploited Vulnerabilities) aufgenommen und eine Warnung herausgegeben, in der sie zur sofortigen Aktualisierung aufruft. In einigen Sicherheitsanalysen wird das Problem als "PHP2Shell" bezeichnet.

Das PHP-Projekt hat eine Sicherheitsmitteilung auf GitHub veröffentlicht, die unten verlinkt ist.

Wer ist betroffen

Jeder, der PHP auf einem Server betreibt, ist potenziell betroffen. Dazu gehören Webserver mit PHP-FPM oder mod_php, Hosting-Server mit mehreren über ein Hosting-Panel installierten PHP-Versionen sowie Websites und Online-Shops, die auf PHP-basierter Software wie gängigen CMS- und Shop-Systemen beruhen. Server, die aus dem Internet erreichbar sind, haben das höchste Risiko.

Die Quelldaten nennen keine genauen betroffenen und korrigierten Versionen. Prüfen Sie die unten verlinkte Sicherheitsmitteilung von PHP, welche Versionen betroffen sind und welche Releases die Korrektur enthalten.

Was Sie jetzt tun sollten

1. Erstellen Sie eine Bestandsaufnahme aller Server und Hosting-Konten, auf denen PHP läuft, einschließlich aller parallel installierten PHP-Versionen (zum Beispiel über Plesk, cPanel oder andere Hosting-Panels).
2. Öffnen Sie die unten verlinkte Sicherheitsmitteilung von PHP und notieren Sie die korrigierten Versionen für jeden PHP-Zweig, den Sie einsetzen.
3. Aktualisieren Sie PHP auf eine korrigierte Version über den Paketmanager Ihrer Distribution, Ihr Hosting-Panel oder Ihren üblichen Update-Prozess. Falls Ihre Distribution rückportierte Korrekturen bereitstellt, prüfen Sie deren Sicherheitshinweis auf die gepatchte Paketversion.
4. Starten Sie alle Dienste neu, die PHP laden, damit die neue Version tatsächlich verwendet wird, etwa PHP-FPM und den Webserver (Apache, Nginx mit PHP-FPM, LiteSpeed).
5. Falls Sie nicht sofort aktualisieren können, reduzieren Sie nach Möglichkeit die Erreichbarkeit der betroffenen Systeme aus dem Internet und folgen Sie den Gegenmaßnahmen in der Sicherheitsmitteilung des Herstellers. CISA empfiehlt, die Nutzung des Produkts einzustellen, wenn keine Gegenmaßnahmen verfügbar sind.
6. Da die Schwachstelle aktiv ausgenutzt wird, prüfen Sie Systeme, die vor dem Patchen exponiert waren, auf Anzeichen einer Kompromittierung: Sichten Sie die Logs von Webserver und PHP-FPM auf ungewöhnliche Anfragen oder Fehler, suchen Sie nach kürzlich erstellten oder geänderten PHP-Dateien in Webverzeichnissen, unerwarteten Cron-Jobs, neuen Benutzerkonten und unbekannten laufenden Prozessen. CISA verweist in ihrer Anleitung außerdem auf Anforderungen an die forensische Triage.
7. Falls Sie Hinweise auf eine Kompromittierung finden, isolieren Sie das System, sichern Sie Logs und Beweismittel und ersetzen Sie die auf dem Server gespeicherten Zugangsdaten (Datenbankpasswörter, API-Schlüssel, SSH-Schlüssel).

So prüfen Sie, ob Sie betroffen sind

Führen Sie php -v in der Kommandozeile aus und, falls verwendet, php-fpm -v (das Programm kann nach seiner Version benannt sein, etwa php-fpm8.x). Prüfen Sie auf Servern mit mehreren PHP-Versionen jede einzelne, auch die, die pro Website in Ihrem Hosting-Panel konfiguriert sind. Eine kleine Seite mit dem Aufruf von phpinfo() zeigt die Version, die eine bestimmte Website tatsächlich verwendet; entfernen Sie sie danach wieder. Vergleichen Sie die gefundenen Versionen mit den betroffenen und korrigierten Versionen in der Sicherheitsmitteilung von PHP. Bestätigen Sie außerdem, dass die Dienste nach dem Update neu gestartet wurden, da ein laufender PHP-FPM-Prozess weiterhin den alten Code verwenden kann.

Quellen

• https://nvd.nist.gov/vuln/detail/CVE-2026-109618
• https://nvd.nist.gov/vuln/detail/CVE-2026-109619