PHP2Shell: CVE-2026-109618 und CVE-2026-109619

Zwei Speicherfehler in PHP, die zu Codeausführung aus der Ferne führen können, seit Oktober 2026 aktiv ausgenutzt.

In der NVD veröffentlicht am 21.10.2026

CVE-2026-109618

CVSS 3.1: 9,8 (kritisch) wird aktiv ausgenutzt

Seit dem 26.10.2026 im CISA-Katalog aktiv ausgenutzter Lücken

Ausnutzungswahrscheinlichkeit (EPSS, 01.11.2026): 99,999 %, Perzentil 99,998

CVE-2026-109619

CVSS 3.1: 8,1 (hoch) wird aktiv ausgenutzt

Seit dem 26.10.2026 im CISA-Katalog aktiv ausgenutzter Lücken

Ausnutzungswahrscheinlichkeit (EPSS, 01.11.2026): 99,999 %, Perzentil 99,999

Was ist PHP2Shell?

PHP2Shell ist der Name für zwei verwandte Lücken in PHP. Bei CVE-2026-109618 lassen manche Kontexte nach einem Out-of-Memory-Fehler Request-Speicher uninitialisiert, und das Aufräumen des Requests liest diesen Speicher danach oder verzweigt darauf. Bei CVE-2026-109619 kann globaler Zustand noch auf Request-Speicher zeigen, nachdem dieser freigegeben wurde, und spätere Requests lesen ihn. Laut NVD können beide zu Codeausführung aus der Ferne führen.

Die NVD bewertet CVE-2026-109618 mit CVSS 9.8 und CVE-2026-109619 mit 8.1, und CISA führt beide seit dem 26. Oktober 2026 als aktiv ausgenutzt. Laut NVD betrifft CVE-2026-109618 auch PHP 7.3 bis 8.1 und CVE-2026-109619 sogar PHP 5.4 bis 8.1, diese Zweige bekommen aber keinen Fix mehr, weil ihr Support ausgelaufen ist.

Betroffene und behobene Versionen

PHP 8.5

Betroffen: 8.5.0 - 8.5.11

Behoben in 8.5.12

PHP 8.4

Betroffen: 8.4.0 - 8.4.26

Behoben in 8.4.27

PHP 8.3

Betroffen: 8.3.0 - 8.3.35

Behoben in 8.3.36

PHP 8.2

Betroffen: 8.2.0 - 8.2.34

Behoben in 8.2.35

PHP 7.3 - 8.1

Betroffen: 7.3.0 - 8.1.x (CVE-2026-109618, CVE-2026-109619)

Keine behobene Version in den NVD-Daten

PHP 5.4 - 7.2

Betroffen: 5.4.0 - 7.2.x (CVE-2026-109619)

Keine behobene Version in den NVD-Daten

Alle Zweige und Lücken von PHP

Stand in Debian und Ubuntu

Debian 12: php8.2

Behoben

Behoben ab Paketversion 8.2.35-1~deb12u1

Debian 13: php8.4

Behoben

Behoben ab Paketversion 8.4.27-1~deb13u1

Ubuntu 22.04 LTS: php8.1

Behoben

Behoben ab Paketversion 8.1.2-1ubuntu2.28

Ubuntu 24.04 LTS: php8.3

Behoben

Behoben ab Paketversion 8.3.6-0ubuntu0.24.04.13

Ubuntu 26.04 LTS: php8.5

Behoben

Behoben ab Paketversion 8.5.4-0ubuntu1.5

Was tun?

Aktualisiere PHP auf 8.5.12, 8.4.27, 8.3.36 oder 8.2.35 oder spiel das behobene Paket deiner Distribution ein. Läuft bei dir noch PHP 8.1 oder älter, wechsle auf einen unterstützten Zweig.

Erseni Patch meldet dir, wenn eine neue Lücke genau deine Version betrifft und wenn dein Release-Zweig keinen Support mehr bekommt. Trag das Programm oder Paket mit deiner Version ein, dann prüfen wir sie sofort.

PHP beobachten

php8.2 (Debian 12) beobachten

php8.4 (Debian 13) beobachten

php8.3 (Ubuntu 24.04 LTS) beobachten

Du hast schon ein Konto? Anmelden und PHP eintragen