WORLDTECHCISA stuft zwei PHP2Shell-Schwachstellen als aktiv ausgenutzt ein
Die US-Behörde Cybersecurity and Infrastructure Security Agency hat die aktive Ausnutzung zweier kürzlich geschlossener PHP2Shell-Schwachstellen bestätigt, die eine Remote Code Execution ohne Authentifizierung erlauben, und beide in ihren Katalog bekannter ausgenutzter Schwachstellen aufgenommen. Der Schritt folgt Berichten über erfolgreiche Angriffe auf Honeypot-Systeme.
Behörde führt Lücken als aktiv ausgenutzt
Am Montag bestätigte die Cybersecurity and Infrastructure Security Agency, dass die erst kürzlich geschlossenen PHP2Shell-Schwachstellen aktiv angegriffen werden, und nahm beide in ihren Katalog bekannter ausgenutzter Schwachstellen auf.
Bundesbehörden haben bis zum 29. Oktober 2026 Zeit, die nötigen Korrekturen einzuspielen.
Angriffe auf Honeypots und die beiden Lücken
Der Eintrag folgt auf Angaben von Adel Karimi, Detection-and-Response-Verantwortlicher bei Perplexity, der am 24. Oktober 2026 erfolgreiche Remote Code Execution, also das Ausführen von Programmen auf einem Rechner von einem anderen Ort aus, gegen Honeypot-Systeme meldete. Karimi sagte, die Belege zeigten nun Remote Code Execution mit verwertbarer Speicherpreisgabe und nicht nur einen Absturz mit anschließend verdächtigem Prozess.
Beide Lücken, CVE-2026-109618 und CVE-2026-109619, sind im CVSS-System mit 9,2 bewertet. Die erste ist eine Out-of-Memory-Speicherbeschädigung, die zweite eine veraltete interne Anfragezustand-Schwachstelle; jede erlaubt eine Remote Code Execution ohne Authentifizierung auf betroffenen Systemen.
Karimi wies zudem darauf hin, dass seine Belege ein absichtlich begünstigtes Profil mit einem einzelnen Worker und mod_php abbilden. Sie messen nicht, wie zuverlässig der Exploit bei anderen Worker-Zahlen, PHP-Builds oder Anwendungen funktioniert.
Korrekturen verfügbar und breite Verbreitung
Korrekturen stehen in den PHP-Versionen 8.5.12, 8.4.27, 8.3.36 und 8.2.35 bereit, die am 21. Oktober 2026 erschienen. PHP ist eine serverseitige Skriptsprache, die auf rund 70 Prozent der Websites eingesetzt wird.
Nach Schätzungen von Censys laufen noch mehr als 32,51 Millionen PHP-Dienste mit einer betroffenen Version. Eine gesonderte Schwachstelle im Brotli-Decoder, auch Broccoli2Shell, HTTP2Shell und Node2Shell genannt, betrifft Brotli-Versionen 1.0.3 bis 1.0.9, 1.1.0 und 1.2.0 und wurde in den Versionen 1.0.10, 1.1.1 und 1.2.1 geschlossen. Die PHP Foundation erklärte, dass der verwundbare Decoder auf Windows-Builds über die cURL-Erweiterung erreichbar ist, wenn die automatische Dekompression von HTTP-Antworten aktiviert ist, was standardmäßig deaktiviert ist.
Offene Fragen
- Wie viele betroffene PHP-Systeme wurden in der Praxis bereits kompromittiert?
- Wird auch die Brotli-bezogene Schwachstelle in den Katalog aufgenommen?