Alarmstufe Rot im Web: RCE-Doppelschlag in PHP erzwingt Notabschaltungen und weltweite Patch-Welle

(ar-itplanet.cc 21.Okt.2026 ) Unter dem Codenamen „php2shell“ bedrohen die Schwachstellen CVE-2026-109618 und CVE-2026-109619 Millionen Server. Warum Webhoster Schutzschilde hochfahren, renommierte Portale kurzzeitig offline gingen und was Betreiber jetzt tun müssen.

 php2shell: Die Kern-Schwachstellen CVE-2026-109618 und CVE-2026-109619 erschüttern das Web

Notabschaltungen und Hektik

Ausnahmezustand im Web – Hoster und Portale reagieren

Ein massiver Sicherheitsvorfall hält die globale IT-Infrastruktur in Atem: Durch zwei miteinander verknüpfte Schwachstellen im Speicher- und Prozessmanagement der populären Skriptsprache PHP – geführt unter CVE-2026-109618 und CVE-2026-109619 – können entfernte Angreifer ohne jegliche Authentifizierung beliebigen Schadcode auf Webservern einschleusen und ausführen (Remote Code Execution, RCE). Die Entdecker von Wiz Research tauften das Angriffsgespann treffend auf den Namen „php2shell“.

Wie Webhoster und Cloud-Provider reagieren

Große Hyperscaler und europäische Hosting-Provider (u. a. Hetzner, IONOS, Strato, AWS, Google Cloud) haben innerhalb weniger Stunden Notfallprotokolle aktiviert:

• Automatisierte Edge-Filter: WAF-Signatursets wurden global forciert, um verdächtige Multipart-Header abzufangen.
• Zwangsrestarts & Rolling Upgrades: Verwaltete Hosting-Pakete und Managed-Server-Instanzen erhalten automatisierte Core-Updates.
• Kundenwarnungen: Inhaber unmanaged VPS- und Root-Server werden per E-Mail aufgefordert, PHP-Pakete sofort händisch zu patchen.

Die Veröffentlichung der Security Advisories am Nachmittag des 21. Oktober 2026 versetzte IT-Abteilungen, Cloud-Provider und Hoster in Alarmbereitschaft:

1. Notabschaltungen prominenter Webseiten: Berichte über kurzzeitige Unerreichbarkeiten (darunter Portale wie Golem.de oder diverse Verlags- und E-Commerce-Plattformen mit „503 Service Temporarily Unavailable“ oder Wartungs-Overlays) gehen direkt auf diese Lage zurück. Viele Betreiber nahmen PHP-Worker und App-Server temporär vom Netz, um gefahrlos Paket-Upgrades einzuspielen, FPM-Pools durchzustarten und Caches neu aufzubauen.
2. CDN- und WAF-Regeln: Cloudflare, AWS WAF und Fastly schalteten automatisierte Regelsätze scharf, um auffällige Multipart-Payloads und abnormale Header-Kombinationen an der Edge abzufangen.
3. Exploit-Aktivität: Sicherheitsanalysten (u. a. Rapid7, watchTowr) beobachten bereits die Reproduktion der PoCs. Vollautomatische Scanning-Wellen gegen Standard-Upload-Endpunkte setzen unmittelbar ein.

php2shell: Die Kern-Schwachstellen CVE-2026-109618 und CVE-2026-109619 erschüttern das Web

Mit einem CVSS-Score von 9.2 schlagen zwei gravierende Sicherheitslücken im PHP-Kern ein: Unter dem Codenamen „php2shell“ klaffen in praktisch allen Versionen des Web-Interpreters von PHP 5.4 bis 8.5.11 kritische Schwachstellen, die unauthentifizierte Remote Code Execution (RCE) ermöglichen. Da die Notfall-Patches erst am 21. Oktober 2026 ausgerollt wurden, reagierte die Szene mit Ad-hoc-Abschaltungen und globalen WAF-Sperren.

Die beiden Schwachstellen wurden im Rahmen systematischer Code-Audits und Fuzzing-Tests von Wiz Research entdeckt und im Zuge eines koordinierten Disclosure-Verfahrens an das PHP Core Security Team sowie die Entwickler von großen Linux-Distributionen und Cloud-Plattformen gemeldet.

Die Schwachstellen betreffen die fundamentale Speicherverwaltung des PHP-Interpreters:

• CVE-2026-109618 (Out-of-Memory Corruption): Erreicht ein Request das definierte Speicherlimit (memory_limit), bricht PHP die Ausführung abrupt per longjmp() ab. Wurde die Anfrage während einer unvollständigen Initialisierung (etwa beim Parsen speziell präparierter multipart/form-data-Uploads) unterbrochen, greifen interne Cleanup-Routinen auf ungültige, halb-initialisierte Speicherbereiche zu. Das resultiert in Memory Corruption und ermöglicht Remotecode-Ausführung – unter Apache mod_php sogar noch bevor irgendein anwendungseigener PHP-Code ausgeführt wird.
• CVE-2026-109619 (Stale Worker State / Use-after-Free): PHP-Worker (wie unter PHP-FPM, LiteSpeed oder FrankenPHP) werden standardmäßig für mehrere sequenzielle HTTP-Requests wiederverwendet. Bricht ein fataler Fehler oder Timeout die Bereinigung ab, bleibt globaler Status erhalten, der auf Speicherbereiche verweist, die am Ende des vorigen Requests freigegeben wurden. Folgerequests desselben Workers operieren auf veralteten Zeigern (Use-after-Free).

Betroffene Systeme: Ein globales Einfallstor

Nahezu jede Web-Architektur, die PHP zur dynamischen Seitengenerierung nutzt, ist im Auslieferungszustand verwundbar:

• Versionen: Alle Versionen ab PHP 5.4 bis einschließlich PHP 8.5.11.
• Laufzeitumgebungen:
  • Apache mod_php: Höchstes unmittelbares Risiko, da der Exploit vor dem Laden des Anwendungscodes greift.
  • PHP-FPM, LiteSpeed & FrankenPHP: Anfällig über mehrstufige Requests gegen dieselben Worker-Prozesse (z. B. via Session Upload Progress).
  • Hosting-Panels & Clouddienste: Plesk (inkl. interner sw-engine), cPanel, DirectAdmin sowie selbstverwaltete LAMP/LEMP-Container auf AWS, Google Cloud oder Hetzner.