PHP: Remote Code Execution durch veralteten globalen Zustand

Zusammenfassung

PHP 8.2 bis 8.5 behält globalen Zustand, der auf Speicher einer abgeschlossenen Anfrage zeigen kann. Ein fataler Fehler oder eine nicht fatale Diagnosemeldung kann diesen Zustand gesetzt belassen, und eine spätere Anfrage desselben Workers kann ihn vor der Initialisierung verwenden. Dies führt zu einer Use-after-Free-Schwachstelle, die eine unauthentifizierte Remote Code Execution ermöglichen kann. Die Ausnutzung hängt vom betroffenen Zustand, der Konfiguration und der Anwendung ab; der Hersteller meldet demonstrierte Angriffe gegen Apache mod_php und PHP-FPM.

Betroffen

• PHP 8.2.* vor 8.2.35
• PHP 8.3.* vor 8.3.36
• PHP 8.4.* vor 8.4.27
• PHP 8.5.* vor 8.5.12
• Ältere Zweige: unbestätigt, Herstellerhinweis und Distributionsangaben prüfen

Behoben in

• PHP 8.2.35
• PHP 8.3.36
• PHP 8.4.27
• PHP 8.5.12
• Spätere Versionen in denselben Zweigen
• Distributionspakete Ihres Anbieters, zum Beispiel Debian 8.2.35-1~deb12u1 (bookworm) und 8.4.27-1~deb13u1 (trixie)

Umgehung

• Es gibt keine vollständige Konfigurationsmassnahme; ein Update ist die einzige zuverlässige Gegenmassnahme.
• Übergangsmassnahmen reduzieren nur die Exposition: Session-Upload-Fortschritt deaktivieren und auf PHP 8.5 Backtraces bei fatalen Fehlern deaktivieren, danach PHP-Worker neu starten.
• Das Ändern von error_reporting, die Verwendung des @-Operators oder das Deaktivieren von display_errors oder log_errors schützt nicht vor dieser Schwachstelle.

Ausnutzung

• CISA SSVC: Ausnutzung aktiv, nicht automatisierbar, totale technische Auswirkung.
• Laut den gelieferten Daten wurde die Schwachstelle am 26.10.2026 in den CISA-KEV-Katalog aufgenommen; nicht unabhängig geprüft.
• Öffentlicher Proof-of-Concept-Code kursiert.
• watchTowr meldet Ausnutzung in freier Wildbahn für das PHP2Shell-Paar; eine Drittanalyse ordnet die beobachtete Angriffskette stattdessen CVE-2026-109618 zu.

Unsere Empfehlung

• Alle PHP-Installationen inventarisieren, einschliesslich mod_php, PHP-FPM sowie eingebettetem oder mitgeliefertem PHP.
• Auf PHP 8.2.35, 8.3.36, 8.4.27, 8.5.12 oder eine spätere Version des Zweigs aktualisieren oder das gepatchte Distributionspaket installieren.
• Nicht mehr unterstützte PHP-Versionen (8.1 und älter) ersetzen oder Backports des Herstellers einsetzen.
• Übergangsmassnahmen nur bis zum Update anwenden und danach PHP-Worker neu starten.
• Webserver auf ungewöhnliche Anfragen und unerwartete Prozesse überwachen; zuerst Systeme mit Internetexposition prüfen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

Links zu fremden Seiten, von uns nicht geprüft – Exploit-Code kann Schadsoftware enthalten. Nur in isolierten Testumgebungen verwenden.

• Proof of Concept auf GitHub (24 Repositories) iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).
  infiniroot/ansible-mitigate-php2shell · santihabib/CVE-2026-109619 · fmdiscioglu/php-cve-2026-109619-checker · unlimit0118/CVE-2026-109619-php2shell-poc · LordX404/php2shell-exploit

Quellen der Recherche

• GitHub Security Advisory GHSA-6wmf-4rv5-p3rp github.com
• oss-security: PHP security team announcement www.openwall.com
• CISA Known Exploited Vulnerabilities Catalog www.cisa.gov
• watchTowr: PHP RCE PHP2Shell analysis watchtowr.com
• Debian Security Tracker CVE-2026-109619 security-tracker.debian.org
• Datadog Security Labs: PHP2Shell securitylabs.datadoghq.com
• NCSC-NL php2shell wiki github.com
• CERT-EU security advisory 2026-018 cert.europa.eu

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 13:34.