PHP: Remote Code Execution durch Speicherbeschädigung bei Out-of-Memory

Zusammenfassung

PHP-Versionen 8.2 bis 8.5 vor den Releases vom Oktober 2026 enthalten einen Fehler in der Behandlung von Out-of-Memory-Situationen. Wenn eine Anfrage keinen Speicher mehr erhält, bricht PHP sie mit longjmp() ab, während der Anfragespeicher noch unvollständig ist, und das Request-Shutdown liest danach diesen ungültigen Zustand oder verzweigt darauf. Ein nicht authentifizierter Angreifer kann über manipulierte HTTP-Anfragen, etwa übergrosse Multipart-Uploads, Remote Code Execution mit den Rechten des Webserver-Kontos erreichen. Apache mod_php ist mit Standardeinstellungen nachweislich ausnutzbar, während FPM als anfällig gilt, ohne dass bisher ein vollständiger FPM-Exploit gezeigt wurde.

Betroffen

• PHP 8.2.x vor 8.2.35
• PHP 8.3.x vor 8.3.36
• PHP 8.4.x vor 8.4.27
• PHP 8.5.x vor 8.5.12
• PHP 8.1 und älter: betroffen, kein Upstream-Fix. Backports der Distributionen können existieren.
• Genaue korrigierte Paketversionen für Distributionen und Appliances: Unbekannt.

Behoben in

• PHP 8.2.35, 8.3.36, 8.4.27, 8.5.12 oder eine neuere Version im gleichen Zweig
• Distributionspakete: Unbekannt, bitte die Herstellerwarnung prüfen

Umgehung

• Ein Update ist die einzige vollständige Massnahme.
• Nur als Übergangslösung, nicht als vollständiger Schutz: memory_limit=-1 administrativ setzen und alle PHP-Worker neu starten. Dies erfordert eine Risikoentscheidung.
• Post_max_size, die dekodierte Anfragegrösse, Multipart-Teile, Header pro Teil und Uploads auf dem Frontend begrenzen.
• Falls die Anwendung keine Multipart-Formulardaten verwendet, solche Anfragen vor PHP blockieren.
• RLIMIT_AS und RLIMIT_DATA nicht verwenden.

Ausnutzung

• Öffentlicher Proof-of-Concept-Code kursiert. watchTowr hat das Problem reproduziert.
• CISA führt die CVE als bekannt ausgenutzt (aufgenommen am 26.10.2026). Die SSVC-Bewertung der CISA stellt aktive Ausnutzung fest.
• Palo Alto Networks meldet aktive Ausnutzung gegen aus dem Internet erreichbare PAN-OS-Management-Schnittstellen. Dies ist eine Herstellerangabe, deren Umfang nicht verifiziert ist.

Unsere Empfehlung

• Alle PHP-Installationen identifizieren, inklusive PHP in Appliances und CMS-Stacks, und deren Versionen prüfen.
• PHP auf die oben genannten korrigierten Versionen oder auf ein Distributionspaket mit Backport aktualisieren. Internetexponierte Systeme und PHP 8.1 und älter priorisieren.
• Nach dem Update alle PHP-Worker neu starten.
• Bis zur Korrektur die Übergangsmassnahmen umsetzen und Webserver-Logs auf ungewöhnliche Multipart-Anfragen und Worker-Abstürze überwachen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

Links zu fremden Seiten, von uns nicht geprüft – Exploit-Code kann Schadsoftware enthalten. Nur in isolierten Testumgebungen verwenden.

• Proof of Concept auf GitHub (25 Repositories) iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).
  corelight/php2shell-detect · zhaoboy9692/CVE-2026-109618 · zhaoboy9692/CVE-2026-109618_ · 0ldbaby/php2shell · mikensec/php2shell-lab
• Exploit-DB EDB-ID 52704 22.10.2026

Quellen der Recherche

• GitHub Security Advisory GHSA-w8hw-w9fx-j79w github.com
• oss-security announcement by the PHP security team www.openwall.com
• CISA Known Exploited Vulnerabilities Catalog www.cisa.gov
• CERT-EU security advisory 2026-018 cert.europa.eu
• Palo Alto Networks Unit 42 analysis unit42.paloaltonetworks.com
• AlmaLinux advisory on PHP packages almalinux.org
• NCSC-NL php2shell wiki github.com
• Wiz analysis of php2shell www.wiz.io

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 13:33.